Daniel
Побаню всех
A
Митапы и прочее это капля в море прибыли
Все впереди. Лучше создать свой рынок чем бороться на сложившемся.
A
Смотрели бы митап, поняли
Я смотрел. И убедительных железобетонных обоснованийдля Го было не много.
A
Реально только в мыле. Пуши и тп.
aadz
Я смотрел. И убедительных железобетонных обоснованийдля Го было не много.
А таких и вобще нет, скорее всего. Все субъективно и ситуативно.
aadz
Мне он тупо нравится и нравится результат. Вот и все основания.
A
Мне он тупо нравится и нравится результат. Вот и все основания.
Так на митапе мало кто так говорил даже :) в основном + нам пришлось :)
Anonymous
а спамить эмодзи научите?
Anonymous
Уважаемые гоферы. Подскажите, пожулайста. Стоит ли юзать jwt вместо redis-sessions ?
Igor
Уважаемые гоферы. Подскажите, пожулайста. Стоит ли юзать jwt вместо redis-sessions ?
если не боишься что украдут.
aadz
А кто-то, может быть, не может жить без адресной арифметики. Ну, что ему делать? Ему Go не надо, а надо C и Ассемблер, если уже такая ситуация, что на таком уровне писать надо. В общем, никаких железобетонных оснований ни для какого языка придумать нельзя
Daniel
И что сделает?
A
А кто-то, может быть, не может жить без адресной арифметики. Ну, что ему делать? Ему Go не надо, а надо C и Ассемблер, если уже такая ситуация, что на таком уровне писать надо. В общем, никаких железобетонных оснований ни для какого языка придумать нельзя
Тут все очень просто, каждый инструмент для своей задачи. Любовь - это свои домашние проекты. Есть масса экзотических языков.
Roman
Уважаемые гоферы. Подскажите, пожулайста. Стоит ли юзать jwt вместо redis-sessions ?
jwt и сессии это веще принципиально разные, у них свои плюсы и минусы.
сессии можно в любой момент отозвать (например закрыть все сесии на всех девайсах в случае потери телефона)
jwt никак не отозвать, пока его срок годности не истечёт - он не инвалидируется. Но за-то никакого централизованного сессия-хранилища, всё stateless
Daniel
То, что дозволено тому человеку, для кого токен предназначался.
Как он jwt из tls потока выделит, для начала?
aadz
А кто-то, может быть, не может жить без адресной арифметики. Ну, что ему делать? Ему Go не надо, а надо C и Ассемблер, если уже такая ситуация, что на таком уровне писать надо. В общем, никаких железобетонных оснований ни для какого языка придумать нельзя
Хотя тут я не совсем прав. Можно на Ассеблере вместе с Go. Просто прикол в том, что некоторые просто не умеют писать нормально, не считая адреса памяти в уме. :) И не могут жить без того, чтобы эту всю бухгалтерию дебажить потом ночи напролет :)
Anonymous
jwt и сессии это веще принципиально разные, у них свои плюсы и минусы.
сессии можно в любой момент отозвать (например закрыть все сесии на всех девайсах в случае потери телефона)
jwt никак не отозвать, пока его срок годности не истечёт - он не инвалидируется. Но за-то никакого централизованного сессия-хранилища, всё stateless
Простите, я новичок. Меня затронула эта тема и я решил спросить людей с опытом. Спасибо за отзыв.
Roman
Простите, я новичок. Меня затронула эта тема и я решил спросить людей с опытом. Спасибо за отзыв.
в принципе всегда используйте сессии, это безопаснее. JWT только в том случае если на то есть конкретные причины
Daniel
Ну что за чушь-то
Michael 🌌
в принципе всегда используйте сессии, это безопаснее. JWT только в том случае если на то есть конкретные причины
Есть что почитать на эту тему?
Alexander
Уважаемые гоферы. Подскажите, пожулайста. Стоит ли юзать jwt вместо redis-sessions ?
У вас уже есть этот функционал или с нуля пишете и выбираете что взять?
A
А действительно jwt на слуху в микросерверах. Вот тоже начал учить.
Daniel
сейчас попробую найти где видел.
Но можно же и без https
Тогда имя-пароль проще красть, а не jwt
Roman
Ну что за чушь-то
пришёл домой, осознал что потерял телефончик... открываешь настройки безопасности аккаунта и закрываешь все сессии. Данные в безопасности.
с JWT у вора подобравшего телефон есть время получить данные в течении пока JWT валиден. Для инвалидации JWT'а нужно пилить blacklisting и per-request blacklist checking, в таком случае проще сессии реализовать...
Anonymous
У вас уже есть этот функционал или с нуля пишете и выбираете что взять?
Уже есть redis-sessions. Но пришла мысль попробовать нечто другое. Пока что в раздумьях.
Alexander
Уже есть redis-sessions. Но пришла мысль попробовать нечто другое. Пока что в раздумьях.
Если всем устраивает - не трогайте. Бэклог что ли пустой?
Daniel
пришёл домой, осознал что потерял телефончик... открываешь настройки безопасности аккаунта и закрываешь все сессии. Данные в безопасности.
с JWT у вора подобравшего телефон есть время получить данные в течении пока JWT валиден. Для инвалидации JWT'а нужно пилить blacklisting и per-request blacklist checking, в таком случае проще сессии реализовать...
Чушь. Или телефон запаролен, или в нем не jwt хранятся, а имена-пароли
Alexander
Пробовать что-то, имхо, надо если текущая реализация чем-то не устраивает
Roman
Чушь. Или телефон запаролен, или в нем не jwt хранятся, а имена-пароли
телефон может быть и не запаролен, не стоит полагаться на стороннюю безопасность, это опасно 😁.
JWT либо невозможно, либо сложно инвалидировать не дожидаясь истечения его срока годности. JWT очень нишевое решение, просто хайпа на этот баззворд в поеследнее время было много
Roman
сессии конечно повышают нагрузку на сервер в случае центрального хранилища сессий и HTTP(S)
но если например коммуницировать по WebSocket'ам то аутентифицировать каждый запрос клиента уже не нужно, единственное обращение к хранилищу сесий осуществляется во время логина, а дальше запросы с сокета ассоциируются с определённой сессией что значительно снижает нагрузку на сервер
Daniel
JWT, действительно, трудно инвалидировать, но не надо подавать это, как серьезную проблему.
во всех тех случаях, когда мы выдали длинный jwt и паримся его отозвать - у нас есть обычно проблемы посерьезнее.
в вебе вообще принято выдавать jwt так же, как сессионную куку - короткий, на каждый запрос, продлевая валидность
Daniel
а вот то, что для проверки jwt не надо лезть в базу - это серьезное преймущество, и им надо пользоваться
aadz
а вот то, что для проверки jwt не надо лезть в базу - это серьезное преймущество, и им надо пользоваться
А за сессией можно лезть не в базу, а в memcached, например
Roman
JWT, действительно, трудно инвалидировать, но не надо подавать это, как серьезную проблему.
во всех тех случаях, когда мы выдали длинный jwt и паримся его отозвать - у нас есть обычно проблемы посерьезнее.
в вебе вообще принято выдавать jwt так же, как сессионную куку - короткий, на каждый запрос, продлевая валидность
1. JWT'ы частично теряют основной смысл (снижения нагрузки на сервер) когда ты добавляешь на каждый запрос jwt blacklist. Да, тебе не придётся каждый раз всю сессию читать из хранилища, ты её прочитаешь из токена, но пингануть blacklist базу таки всё-равно придётся
2. для новичка (каким автор вопроса и являлся) это вполне серьёзная проблема, легче просто сессии юзать чем внивать в криптографию, приватные ключи, инвалидацию с blacklist'ингом и т.д..
куда ты JWT запихаешь, будь то печеньки, файл, local storage и т.д. - не важно. Суть в инвалидации. Украсть можно и session key, но от него пользы не будет если сессию отозвали на сервере.
Daniel
1. не нужно
2. 21-й век на дворе, новички должны уметь в криптографию. иначе они не новички, а школота
проблема иналидации JWT сильно раздута, на практике это последняя из проблем безопасности
Roman
1. не нужно
2. 21-й век на дворе, новички должны уметь в криптографию. иначе они не новички, а школота
проблема иналидации JWT сильно раздута, на практике это последняя из проблем безопасности
1. ну тогда у тебя потенциальная дырка в безопасности 😉
2. обязательность знания криптографии - не делает криптографию проще в когнитивном плане.
Daniel
была бы дыра, если бы не перекрывалась дырой по-больше каждый раз
Suworow
я просто текст
1. не нужно
2. 21-й век на дворе, новички должны уметь в криптографию. иначе они не новички, а школота
проблема иналидации JWT сильно раздута, на практике это последняя из проблем безопасности
Спасибо, обласкали. Кинте тогда, что можно школоте почитать, очень уж хочу в новички переквалифицироваться
Olzhas
Спасибо, обласкали. Кинте тогда, что можно школоте почитать, очень уж хочу в новички переквалифицироваться
Если метишь в криптографы, то нужно знать вышмат
Slava
Вообщем в моих экспериментах с graphql победил gqlgen. Из минусов только отсутствие поддержки модулей
Artem
Вообщем в моих экспериментах с graphql победил gqlgen. Из минусов только отсутствие поддержки модулей
Он из протобуфки же генрит, если не ошибаюсь?
Olzhas
Если метишь в того, кто может написать реализацию криптоалгоритмов на каком-либо языке программирования, то особо ничего не надо
Daniel
Если всем устраивает - не трогайте. Бэклог что ли пустой?
вообще, конечно, я давно думаю, где бы взять честный таск-трекер
1. приоритетов у задач три: "прямо сегодня", "завтра" и "никогда"
2. "никогда" можно добавлять без ограничений
3. при добавлении "прямо сегодня" и "завтра" менеджер обязан оценить задачу в часах и назначить исполнителя. если у исполнителя уже больше N часов соответствующего приоритета - задача не ставится
вот было бы отрезвление большинству PMов...
Olzhas
Если метишь в того, кто может написать реализацию криптоалгоритмов на каком-либо языке программирования, то особо ничего не надо
Там умножил, здесь xor, перевернул
Artem
Нет, из graphql схемы
Резолверы ток у той либы неоч, 2 года не могут влить параллельность вызовов, у меня сейчас большие проблемы с резолвом сложных списков
Artem
вообще, конечно, я давно думаю, где бы взять честный таск-трекер
1. приоритетов у задач три: "прямо сегодня", "завтра" и "никогда"
2. "никогда" можно добавлять без ограничений
3. при добавлении "прямо сегодня" и "завтра" менеджер обязан оценить задачу в часах и назначить исполнителя. если у исполнителя уже больше N часов соответствующего приоритета - задача не ставится
вот было бы отрезвление большинству PMов...
Ещё б ПМ знал, сколько это займет. Обычно никто, кроме твоей команды не знает
Daniel
ПМ - часть команды
Daniel
но, к сожалению, даже планинг-покер не дает никаких гарантий точной оценки
Slava
Slava
ну по крайней мерере то что я вижу в сгенерированном коде
Daniel
но если позволить ПМ ставить задачи бесконтрольно - воспитательный эффект пропадет
Olzhas
вообще, конечно, я давно думаю, где бы взять честный таск-трекер
1. приоритетов у задач три: "прямо сегодня", "завтра" и "никогда"
2. "никогда" можно добавлять без ограничений
3. при добавлении "прямо сегодня" и "завтра" менеджер обязан оценить задачу в часах и назначить исполнителя. если у исполнителя уже больше N часов соответствующего приоритета - задача не ставится
вот было бы отрезвление большинству PMов...
Первый таск - добавить приоритет "вчера", без оценки часов и всяких ограничений. Времени - один час.
Artem
Посмотрю
Slava
ещё там даталоадер есть нормальный
Olzhas
Учу потихоньку. В процессе.
Советую книжку "Криптография. От папируса до компьютера"
Olzhas
Советую книжку "Криптография. От папируса до компьютера"
Даёт познания в крипте без особых углублений
Roman
я просто текст
Советую книжку "Криптография. От папируса до компьютера"
Во. Так гораздо лучше
Aleksandr
для понимания
Olzhas
Во. Так гораздо лучше
Книга может показаться устаревшей, но на самом деле криптография за последние 20 лет не особо менялась
Olzhas
До 90 годов была для избранных - военные, спецслужбы и т.п.
Roman
code generation, yak... 🤢
Roman
@onokonem https://github.com/romshark/Go-2-Proposal---Immutability готовлю к публикации на днях. Глянь если интересно