Вопрос про refreshToken. Пользователь авторизуется и получает пару refreshToken + accessToken У

Question

Вопрос про refreshToken. Пользователь авторизуется и получает пару refreshToken + accessToken У

accessToken срок 3 минуты.
После истечения accessToken мы обновляемся используя refreshToken + accessToken
Но что если я авторизуюсь через другой браузер, и refreshToken в бд перезаписывается, как быть для этого для первого пользователя?

#backend #dot #programming #russian

0

12.10.2023

28 ответов

34 просмотра

Макс Кот Автор вопроса

Pavel
Первый пользователь будет разлогинен когда его acc...

Да, и как этого избежать?

0

12.10.2023

Макс Кот Автор вопроса

Pavel
Первый пользователь будет разлогинен когда его acc...

Он уже не получит новый accessToken, так как refreshToken был перезаписан..

0

12.10.2023

Makima

держешь в базе до Н числа сессий на юзера, например 5

0

12.10.2023

Makima

https://gist.github.com/zmts/802dc9c3510d79fd40f9dc38a12bccfc

0

12.10.2023

Ayrat Hudaygulov

ответ - не делать это всё самому, возьми уже готовое

0

12.10.2023

Дмитрий Алексеев

А зачем токен в базе хранить?

0

12.10.2023

Ayrat Hudaygulov

Makima
https://gist.github.com/zmts/802dc9c3510d79fd40f9d...

это сразу удаляй, люди соберут все возможные грабли, реализуя это самостоятельно

0

12.10.2023

Makima

Ayrat Hudaygulov
это сразу удаляй, люди соберут все возможные грабл...

ты говоришь с позиции своего многолетнего опыта, джунам полезно и самим свои жвт написать имхо

0

12.10.2023

Макс Кот Автор вопроса

Дмитрий Алексеев
А зачем токен в базе хранить?

Вы имеете ввиду в сервере хранить сессии?

0

12.10.2023

Дмитрий Алексеев

Макс Кот
Вы имеете ввиду в сервере хранить сессии?

Ну можете так назвать

0

12.10.2023

Ayrat Hudaygulov

Makima
ты говоришь с позиции своего многолетнего опыта, д...

меня ещё немного корёжит от слова JWT аутентификация. А если я в той же схеме выше вместо JWT буду аксец токены гуидами выдавать, что-то поменяется?

0

12.10.2023

Makima

Ayrat Hudaygulov
меня ещё немного корёжит от слова JWT аутентификац...

не поменяется в принцыпе

0

12.10.2023

Ayrat Hudaygulov

Makima
не поменяется в принцыпе

именно. Потому что аксец токены по OAuth - opaque string вообще насрать что там

0

12.10.2023

Макс Кот Автор вопроса

Ayrat Hudaygulov
ответ - не делать это всё самому, возьми уже готов...

Что есть готовое?

0

12.10.2023

Ayrat Hudaygulov

Макс Кот
Что есть готовое?

ТОННЫ

0

12.10.2023

Makima

Ayrat Hudaygulov
именно. Потому что аксец токены по OAuth - opaque ...

да но опять же, ты говоришь с позиции своего опыта и уровня знаний, для большинства твои слова шифр тут хоть ты и прав

0

12.10.2023

βλαδιμιρ

refreshtoken обязан жить до истечение своего времени жизни

0

12.10.2023

Roman Bukin

βλαδιμιρ
refreshtoken обязан жить до истечение своего време...

НИ ХУ Я

0

12.10.2023

βλαδιμιρ

Roman Bukin
НИ ХУ Я

тиха, я на это расчитываю когда пишу код

0

12.10.2023

Makima

кароч есть сессия, сессия это активная пара аксесс рефреш токенов

0

12.10.2023

Ayrat Hudaygulov

Makima
кароч есть сессия, сессия это активная пара аксесс...

всё немного сложнее. А если сессия была на 4 audience + on_behalf, где возможен token exchange?

0

12.10.2023

Makima

Ayrat Hudaygulov
всё немного сложнее. А если сессия была на 4 audie...

сложнее, но у него то пет проект обычный и желание понять как работает жвт )

0

12.10.2023

Roman Bukin

Ayrat Hudaygulov
всё немного сложнее. А если сессия была на 4 audie...

тогда

0

12.10.2023

Ayrat Hudaygulov

Makima
сложнее, но у него то пет проект обычный и желание...

жвт - это всего лишь обосанный контейнер для передачи клеймов с опциональной подписью, ты с тем же успехом клеймы можешь в XML передавать с подписью в query (и получишь SAML Redirect Binding)

0

12.10.2023

Makima

Ayrat Hudaygulov
жвт - это всего лишь обосанный контейнер для перед...

да но надо с малого начинать )

0

12.10.2023

Ayrat Hudaygulov

Makima
да но надо с малого начинать )

ну ок, погугли про другие контейнеры для токенов - paseto например

0

12.10.2023