0

Всем привет. Много вопросов возникло с этой темой (JWT). На данный момент у меня есть аутентификация с помощью JWT. При истечении времени жизни токена, пользователь выходит из системы (401).

Теперь вопрос. Как можно "оставить" пользователя в системе после истечения времени жизни токена? Без необходимости последующего входа. Т.к. остается проблема - авторизироваться через определенное количество минут.

Буду рад слышать ваши ответы.

10
  • Никак. Вы хотите плохого. Делайте правильно: протух доступ - доступ закрыт. Вы квартиру запираете и уносите ключ с собой, а не оставляете торчать в замке "заходи кто хочешь, бери кто хочешь". Не хотел бы я пользоваться вашим приложением: уж сколько есть ошибок в ПО, но когда мечтают о заведомо дырявой модели с кучей угроз - это слишком. Сделайте токены бесконечной длины или даже вообще удалите все токены - пусть пользователи всегда остаются в системе и все с админскими правами.
    – A K
    1 мая 2019 в 9:22
  • Я понял, что это плохой вариант. Я и не говорю конкретно "сохранить"! 1 мая 2019 в 9:25
  • Тогда переформулируйте вопрос, нажав кнопку "править". Опишите проблему. Приведите код. Сформулируйте один вопрос, а не десять (один вопрос - одна тема).
    – A K
    1 мая 2019 в 9:25
  • Я имею ввиду, как можно создать, допустим, последующую авторизацию после истечения времени токена? При условии, что пользователь не будет повторно вводить данные. 1 мая 2019 в 9:26
  • 1
    Это очень упрощённый пример на метаните: он хорош для старта, но то, что вы хотите уже выходит за рамки такого простого примера. Вы ищете функциональность, которую принято делать через refresh токены. Из того, что почитать рекомендую например blinkingcaret.com/2018/05/30/…
    – A K
    1 мая 2019 в 9:52

1 ответ 1

0

сгенерируйте еще один токен который будет называться refreshToken, этот токен будет служить для обновления токена его нужно хранить в бд, срок refreshTokena больше чем простой токен . На клиентской части если ответ приходит код 401 - рефрешнуть токен через refreshToken и повторить запросы которые выдали 401.

1
  • Т.е., если выдается код 401, запрос на повторную авторизацию нужно отправлять с клиента? И по refreshToken найти пользователя. Я правильно понял? 10 мая 2019 в 9:19

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.