5

Всем добрый день!
Более опытные коллеги, можете подсказать порядок обмена токенами (jwt) между сервером (java, spring) и клиентом (vuejs)? Я так понимаю, что когда клиент присылает на сервер логин/пароль, то сервером формируются access и refresh токены и отдаются клиенту. access живет, условно, 15 минут, refresh - 1 месяц. При каждом запросе клиент отправляет только access токен и если он истек по сроку, то клиент получает ответ от сервера и тогда клиент отправляет refresh токен для получения нового access и refresh токенов, верно? Фактически будет 3 запроса.

  1. запрос с истекшим токеном
  2. рефреш токена
  3. запрос с обновленным токеном

или сразу делать все запросы с access и refresh токенами, но передавать постоянно refresh токен, думаю не самая лучшая идея.

Стоит ли в токен зашивать идентификатор браузера, к примеру user-agent, чтобы токен хоть как-то обезопасить от использования в другом браузере или можете подскажите более лучший способ.

1 ответ 1

2

Вы можете проверять время жизни access токена на стороне клиента и делать запрос на рефреш перед основным запросом. Либо используйте перехватчики запроса, например https://github.com/Flyrell/axios-auth-refresh#readme Идея в том, чтобы перехватить ошибку авторизации 401 или 403, получить новый токен и продолжить выполнения запроса.

Не отправляйте рефреш токен в ответ на невалидный токен доступа!

0

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.