0

Есть Web приложение с использованием JWT токена. Сайт отдает Access и Refresh токены.

Собственно при использовании RefreshToken'а как я понял нам надо убить все старые AccessToken'ы.

Никак не могу понять, как это сделать на Asp.net Core? Ведь мы их не храним как Refresh, они известны только пользователю.

Можно конечно сохранять все токены в некой таблице:

Token | isValid    
00000 | false    
00001 | true

И в дальнейшем просто проверять статус токена, но какое то это странное как по мне решение, да и как даже это реализовать, ведь мы должны как то отловить заход пользователя через старый токен...

8
  • 2
    Убивать не надо, AcecessToken сам протухнет по таймауту
    – andreymal
    21 сен 2018 в 0:21
  • @andreymal Хорошо, а если допустим, сменили пароль, токен у нас ну скажем на пол часа, значит эти пол часа мы будем иметь доступ со старым паролем? Как то не очень...
    – EvgeniyZ
    21 сен 2018 в 0:25
  • 1
    А это целая тема для длинных дискуссий и одна из причин, почему лично я вообще не использую JWT) Решение с хранением токенов в таблице лично мне не кажется странным
    – andreymal
    21 сен 2018 в 0:27
  • @andreymal Я не против использовать хранение в базе, вопрос только как в последующем проверять его...
    – EvgeniyZ
    21 сен 2018 в 0:36
  • @andreymal Кстати, а что Вы предпочитаете для работы с ресурсом через клиент приложение? Может и я выберу что то другое...
    – EvgeniyZ
    21 сен 2018 в 11:22

2 ответа 2

1

Вы можете преобразовать токен в модель и обратно с помощью библиотеки Jose-jwt.

Token newToken = new Token();
EncodeToken(newToken, users);

public partial class Users
{
    public int Id { get; set; }
    public string Login { get; set; }
    public string Password { get; set; }
}
private static void EncodeToken(Token token, Users users)
{
        var secretKey = new byte[]
        {
            164, 60, 194, 0, 161, 189, 41, 38, 130, 89, 141, 164, 45, 170, 159,
            209, 69, 137, 243, 216, 191, 131, 47, 250, 32, 107, 231, 117, 37, 158, 225, 234
        };

        token.id = users.Id;
        token.Key = Jose.JWT.Encode(users, secretKey, Jose.JwsAlgorithm.HS256);
}

private static Users DecodeToken(string token)
{
   var secretKey = new byte[]
   {
            164, 60, 194, 0, 161, 189, 41, 38, 130, 89, 141, 164, 45, 170, 159, 209,
            69, 137, 243, 216, 191, 131, 47, 250, 32, 107, 231, 117, 37, 158, 225, 234
   };

   var users = Jose.JWT.Decode<Users>(token, secretKey);
   return users;
}

Вы можете добавить в класс юзера время действия токена и сверять с текущем временем. Ну или сделать уже другие проверки, необходимые вам(например сверять пароль)

1
  • 1
    В Asp.net Core вроде как есть стандартные методы для этого. И вопрос по большей части - "как мне отловить то, что пользователь зашел через JWT", а не "Как раскодировать токен".
    – EvgeniyZ
    21 сен 2018 в 11:18
0

Если не надо держать несколько живых токенов одновременно или нужно просрачивать все разом по событию. Я сделал так.

Добавил рядом с паролем поле serial в нем храню номер последнего валидного токена

В токен записывается serial не из таблицы, а из общего счетчика.

При проверке авторизации делаю сравнение user.serial <= token.serial

При нажатии кнопки выход или при смене пароля user.serial = token.serial

Если нужно держать только одну сессию, то при получении нового токена обновляю serial

Если нужно каждый токен видеть отдельно - создавай таблицу с номерами активных токенов. Старые помечай на удаление.

4
  • Это подразумевает, что нужно сходить за user.serial в базу, что убивает примерно весь смысл JWT
    – andreymal
    23 дек 2022 в 10:41
  • @andreymal а по-другому как серверу узнать что ключ отозвали?
    – eri
    23 дек 2022 в 12:56
  • Никак, JWT по природе своей не предназначен для отзыва
    – andreymal
    23 дек 2022 в 13:07
  • Но если очень хочется, то можно) тем не менее табличка отзыва будет короткой и более быстрой чем поиск пользователя
    – eri
    23 дек 2022 в 13:31

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.