170 похожих чатов

Вопрос про refreshToken. Пользователь авторизуется и получает пару refreshToken + accessToken У

accessToken срок 3 минуты.
После истечения accessToken мы обновляемся используя refreshToken + accessToken
Но что если я авторизуюсь через другой браузер, и refreshToken в бд перезаписывается, как быть для этого для первого пользователя?

28 ответов

10 просмотров

Первый пользователь будет разлогинен когда его access токен протухнет, нет?

Макс-Кот Автор вопроса
Макс-Кот Автор вопроса
Pavel
Первый пользователь будет разлогинен когда его acc...

Он уже не получит новый accessToken, так как refreshToken был перезаписан..

держешь в базе до Н числа сессий на юзера, например 5

https://gist.github.com/zmts/802dc9c3510d79fd40f9dc38a12bccfc

ответ - не делать это всё самому, возьми уже готовое

А зачем токен в базе хранить?

Makima
https://gist.github.com/zmts/802dc9c3510d79fd40f9d...

это сразу удаляй, люди соберут все возможные грабли, реализуя это самостоятельно

Ayrat Hudaygulov
это сразу удаляй, люди соберут все возможные грабл...

ты говоришь с позиции своего многолетнего опыта, джунам полезно и самим свои жвт написать имхо

Макс-Кот Автор вопроса
Дмитрий Алексеев
А зачем токен в базе хранить?

Вы имеете ввиду в сервере хранить сессии?

Makima
ты говоришь с позиции своего многолетнего опыта, д...

меня ещё немного корёжит от слова JWT аутентификация. А если я в той же схеме выше вместо JWT буду аксец токены гуидами выдавать, что-то поменяется?

Makima
не поменяется в принцыпе

именно. Потому что аксец токены по OAuth - opaque string вообще насрать что там

Ayrat Hudaygulov
именно. Потому что аксец токены по OAuth - opaque ...

да но опять же, ты говоришь с позиции своего опыта и уровня знаний, для большинства твои слова шифр тут хоть ты и прав

refreshtoken обязан жить до истечение своего времени жизни

Roman Bukin
НИ ХУ Я

тиха, я на это расчитываю когда пишу код

кароч есть сессия, сессия это активная пара аксесс рефреш токенов

Makima
кароч есть сессия, сессия это активная пара аксесс...

всё немного сложнее. А если сессия была на 4 audience + on_behalf, где возможен token exchange?

Ayrat Hudaygulov
всё немного сложнее. А если сессия была на 4 audie...

сложнее, но у него то пет проект обычный и желание понять как работает жвт )

Makima
сложнее, но у него то пет проект обычный и желание...

жвт - это всего лишь обосанный контейнер для передачи клеймов с опциональной подписью, ты с тем же успехом клеймы можешь в XML передавать с подписью в query (и получишь SAML Redirect Binding)

Makima
да но надо с малого начинать )

ну ок, погугли про другие контейнеры для токенов - paseto например

можно сделать сущность UserSession и туда писать рефреш сериализованный например

Похожие вопросы

Обсуждают сегодня

я не магистр хаскеля, но разве не может лейзи тип конвертнуться в не-лейзи запросив вычисление содержимого прям при инициализации?
deadgnom32 λ madao
100
Всем привет! Массив вводится с клавиатуры, кол-во элементов неизвестно, поэтому я указал arr db 100 dup(?) С нахождением максимума проблем нет, а вот минимум почему-то всегд...
En Vind Av Sorg
11
в сях есть множество как в питоне? для удаление дубликатов
Linus
25
читать файл максимально быстро? странный вопрос))
zamtmn
53
Кто создает тут ботов для телеграмм групп ?
Antskup
8
а как бы вылезти из ИО, что то типа IO -> Ether или в какую сторону смотреть ? что то туплю
Fedor
14
Вроде бы вопрос уже заезжанный, но тем не менее У меня есть функция menu() которая выводит набор возможных действий, а затем спрашивает у пользователя что он хотел бы сделать....
David Golovatin
2
Я хочу запустить свой проект в тг. Что-то между пирамидой и майнилкой. Еще подобного ничего не было. Уникальная идея. Нужен именно не бот, а приложение. С ввод, выводом тон...
Павел А.
6
а зачем этот вопрос для удаления из чата?
Mёdkinson Medvezhkin
63
тоесть, указав return eax, сгенерируется никому ненужная инструкция mov eax,eax ?
Aiwan \ (•◡•) / _bot
24
Карта сайта