1

Делаю алгоритм входа JWT на сайте jwt.io вполне понятно описана суть работы, а в видео туториалах речь идёт про каких-то 2 токена и про совсем другой тип работы. Как я понял второй тип более защищён. Теперь разбираемся. В итоге появляется множество вопросов

Имеем 3 сервера: client server, api server, auth server

Начинается всё с того что мы делаем запрос на Auth сервер, всё что мы ему даём это некий API ключ для идентефикации приложения и массив с данными например логин и пароль, сервер нам возвращает 2 ключа: access_token и refresh_token. Далее вопрос номер 1

Как построены токены? нужен конкретный алгоритм

Понял что access токен мы отсылаем в каждый запрос уже к API серверу а refresh токен сохраняем в localStorage во frontend"е

Насколько я понял у access токена есть время жизни например 15 минут, API сервер вполне может его декодировать и если время вышло мы возвращаем ответ что время жизни access токена вышло. Тогда мы отправляем запрос на Auth сервер и отправляем ему refresh токен, и сервер возвращает нам новую пару токенов refresh и access далее клиент сервер обновляет localStorage и снова отправляет запрос к API?

Подскажите правильно ли я построил суть?

И ещё 1 вопрос где хранить access токен?

Клиент у меня на React, всё остальное на php

1 ответ 1

2
  1. В токенах могут использовать разные алгоритмы, но по умолчанию чаще всего используется HS256. И еще при получении access_token, с помощью refresh_token, должен возвращаться только access_token, в целях безопасности. А в остальном понимание работы токенов верное, хочу также заметить что в токенах при их генерации на бэкенде, в них можно кодировать информацию (иногда может пригодится).

  2. Хранить access токен лучше всего в глобальном хранилище, чтобы не приходилось его постоянно прокидывать через props. Хорошим решением будет Redux (хороший краткий курс по нему) или Mobx, но только для токена их подключать, это все равно, что из пушки по воробьям стрелять. Так что может сгодиться GlobalContext/GlobalStorage (тут кратко)

10
  • 2
    Это должно работать по другому, refresh токен имеет срок жизни (допустим 14 дн). И за эти 14 дн сколько бы ты его не отправлял тебе всегда возвращается новый рабочий access токен. Потому что иначе можно было бы просто получать access token и отправлять новый access токен, но это не безопасно. Т.е Refresh Token не должен быть одноразовым, а должен иметь срок жизни. Так реализовано JWT в Djagno, не исключаю, что в PHP иначе, но это было бы очень странно.
    – Necko
    6 мая 2020 в 12:50
  • 2
    На счет секретного ключа. Если собираешься декодировать access токен на Фронтенде, то лучше его не пихать в него т.к не сможешь его безопасно декодировать. В refresh токен я его всегда пихаю.
    – Necko
    6 мая 2020 в 12:51
  • 2
    access в среднем должен жить от 5-15 минут, зависит от количество отправляемых API запросов от клиента к серверу. Мало запросов = 5 минут, много = 15 (всё субьективно). + чем меньше живет токен тем его сложнее "угнать" через атаки по типу MITM. Не очень понял первую часть вопроса, но после того как юзер залогинился он может на 14 дн забыть о своем пароле, пока его refresh токен еще "жив", а потом ему придется заново входить в приложение и обновлять refresh токен. Если это тебя не устраивает то сделай срок жизни refresh токена 99999999 дней.
    – Necko
    6 мая 2020 в 13:02
  • 1
    А, и ещё, пару вопросов по распределению запросов на сервера. Первую пару ключей - сервер AUTH, обновление - тоже сервер AUTH, но при каждом запросе сервер API декодирует access и узнаёт подменен ли он или нет, и мне ещё интересно что связывает refresh и access? В refresh закодирован access? Или как? 6 мая 2020 в 13:10
  • 2
    На счет того как они связанны (и связанны ли вообще) не знаю, к сожалению. Но Auth-Server (хотя я его отдельно не выделяю) декодирует и проверяет access токен на основании информации которая хранится на самом сервере, поэтому я предпочитаю всегда добавлять секретный ключ в генерацию access токена, чтобы его было трудно подделать.
    – Necko
    6 мая 2020 в 14:12

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.