4

Правильно ли я понимаю использование jwt в микросервисной архитектуре:

При аутентификации для пользователя создаются Access token и Refresh token. Refresh token хранит id Access token-а. Access token отправляется пользователю в header-e и хранится в WebStorage или Cookies, а Access token сохраняется где-либо(бд или файл). При последующем запросе клиента-пользователя на сервере Access token отправляется на сервер, где проверяется его валидность, затем в случае успеха проверяется время жизни, если что выдается новый Access token.

2
  • 1
    Основное преимущество в использовании jwt - это возможность только один раз авторизовать пользователя и дать ему набор разрешений. Дальше, jwt используется для доступа к другим сервисам, которым нет нужды обращаться к бд или сервису авторизации, т.к. jwt токен уже содержит всю необходимую информацию (в том числе для проверки его достоверности в виде подписи). 20 сен 2017 в 22:03
  • @VladimirGamalyan, это всего лишь пояснение что такое jwt и что он может, никакого отношения к вопросу не имеет. Интересует схема использования.
    – bsuart
    21 сен 2017 в 18:27

1 ответ 1

3
+100

Доброго времени суток.

На сколько я могу судить о JWT, то данный механизм существует "сам по-себе", в отрыве от микро- или макро-сервисной архитектуры, ему (механизму) требуется лишь клиент и сервер.

Если верить сайту jwt.io, то этот процесс представляет собой следующие шаги:

1) Клиент запрашивает авторизацию

2) Сервер создает и возвращает токен

3) Клиент при запросе указывает это токен в заголовке запроса

4) Сервер авторизует клиента по токену и отправляет контент клиенту

Как мне кажется, Ваш алгоритм с двумя токенами в принципе укладывается в вышеописанный процесс.

Лично мне кажетя, что второй токен лишний, можно было обойтись одним. Кроме того, записывать токен в БД не всегда хорошая идея, т.к. будет необходимо выполнять запрос к БД всякий раз при получении токена, даже без полезной назгрузки.

Ниже опишу пример применения JWT в собственных сервисах:

1) Клиент запрашивает авторизацию передавая пользователя и пароль

2) Сервер осуществляет поиск по БД пользователя, проверяет пароль и если всё хорошо, то создает токен путемкодирования идентификатора пользователя по алгоритму SH256 с использованием внутреннего секретного ключа сервера.

3) Токен отправляется клиенту, при это в БД токен НЕ записывается

4) Клиент выполняет запрос к контенту с указанием полученного токена в заголовке запроса

5) Сервер "на-лету" декодирует токен и если получает полезную нагрузку (payload) правильной структуры, то выполняет поиск клиента в БД по идентификатору

6) Если пользователь найден, контент возвращается.

Надеюсь ответил на Ваш вопрос.

6
  • 1
    Если отказаться от refreshToken то придётся заставлять пользователя по истечению времени действия токена каждый раз вводить логин-пароль, это не всегда хорошо
    – Jbyh
    22 сен 2017 в 12:07
  • Мне кажется, что любой токен должен иметь время действия и обновляться периодически через ввод пароля. Если этого не делать, то получив один раз чужой токен, можно всегда получить доступ, даже если пароль будет изменен.
    – Nik
    22 сен 2017 в 12:50
  • C другой стороны чем чаще отправляешь пароль, тем легче его заполучить... + рефреш токен тоже протухает, у него тоже есть время действия, и при каждом перезапросе получаешь новую пару
    – Jbyh
    22 сен 2017 в 13:53
  • По большому счету - это уже особенности конкретной реализации и лежит "за скобками" jwt
    – Nik
    23 сен 2017 в 4:51
  • 2
    refreshToken - имеет большой TTL и одноразовый, для генерации новой пары(аналог куки). accessToken - имеет маленький TTL и многоразовый, для идентификации (аналог сессии). Если атакующий воспользуется refreshToken, то разлогинит пользователя. И как только пользователь залогинится снова, пара токенов атакующего будет уже невалидна
    – Ninazu
    18 июл 2018 в 11:15

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.