5

Всем добрый день!
Более опытные коллеги, можете подсказать порядок обмена токенами (jwt) между сервером (java, spring) и клиентом (vuejs)? Я так понимаю, что когда клиент присылает на сервер логин/пароль, то сервером формируются access и refresh токены и отдаются клиенту. access живет, условно, 15 минут, refresh - 1 месяц. При каждом запросе клиент отправляет только access токен и если он истек по сроку, то клиент получает ответ от сервера и тогда клиент отправляет refresh токен для получения нового access и refresh токенов, верно? Фактически будет 3 запроса.

  1. запрос с истекшим токеном
  2. рефреш токена
  3. запрос с обновленным токеном

или сразу делать все запросы с access и refresh токенами, но передавать постоянно refresh токен, думаю не самая лучшая идея.

Стоит ли в токен зашивать идентификатор браузера, к примеру user-agent, чтобы токен хоть как-то обезопасить от использования в другом браузере или можете подскажите более лучший способ.

1 ответ 1

2

Вы можете проверять время жизни access токена на стороне клиента и делать запрос на рефреш перед основным запросом. Либо используйте перехватчики запроса, например https://github.com/Flyrell/axios-auth-refresh#readme Идея в том, чтобы перехватить ошибку авторизации 401 или 403, получить новый токен и продолжить выполнения запроса.

Не отправляйте рефреш токен в ответ на невалидный токен доступа!

0

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.