просто не надо юзать не по назначению

додумался же кто-то юзать jwt для аутентификации

крайне бессмысленно и беспощадно

Да не, я посмотрел исходник миддла, и вообще не увидел какой либо логики за добавление куки

а для чего тогда юзать jwt?

Для аутификации между разными сервисами без сервера аутификации

для подписи данных

для общения между серверами

всё что угодно, где надо подписать данные и проверить валидность подписи но только не замена КУКИСАМ

а зачем вообще подписывать данные при общении между серверами?

а зачем вообще подписывать данные при общении между серверами?

для валидации и определения какой именно сервис пришел

или пофигу?

сервер/сервис

в одном из проектов сделал межсервисный аналог redux поверх jwt

всё что угодно, где надо подписать данные и проверить валидность подписи но только не замена КУКИСАМ

почему?

а разве все эти сервисы вообще могут быть в открытом доступе? торчать портами наружу?

и не легче ли на какой-нибудь rabbitmq/redis их завести и пускай общаются между собой

jwt можно положить в куку

почему?

потому что смысла нет ты либо попадаешь в зависимость от сервиса аутентификации (то же самое что в кукисах) либо попадаешь в проблему проверки принадлежности короче переизобретаешь кукисы в итоге

jwt можно положить в куку

смысла тупо нет

можно с таким же успехом положить длинную строку и хранить в базе

и не легче ли на какой-нибудь rabbitmq/redis их завести и пускай общаются между собой

вообще не легче

а разве все эти сервисы вообще могут быть в открытом доступе? торчать портами наружу?

некоторые могут общаются по http

ну хз, хз, уж лучше какой-нибудь vpn организовать и не пущать никого из вне, чем городить весь это огород с jwt

ну вот ты придумываешь костыли)

а если в сервис могут ходить множество сервисов

одни надо пускать другие нет

нужно проверять ключи

подписи

права

vpn справится?

да и что удобнее менеджить?

я видимо не совсем догоняю, но есть например не jwt аутентификация, а обычная, с id сессии, сопоставляющейся с юзером из базы данных. используешь ты, допустим, какой-нибудь passport.js. он тебе id этой сессии десериализует в объект юзера и кладёт в контекст запроса. т.е. он под капотом взял айдишник, сходил в базу на каждом запросе, достал оттуда юзера и положил в запрос.

ну да

ну и зачем здесь jwt?

а с jwt просто отпадает необходимость ходить в базу, потому что если jwt валидный, то значит ты сам его подписал

нет

тебе придется сходить за ключом юзера

придется также проверить не отозвали ли этот jwt

это если есть функционал revoke, да

лол

отозванный ЖВТ можно сделать хранением даты обновления пароля

не катит

а если в сервис могут ходить множество сервисов

ну если совсем разные и независимые сервисы, то да, лучше тот же jwt

а так-то я могу например положить в jwt все данные, которые мне нужны

а так-то я могу например положить в jwt все данные, которые мне нужны

ну и зачем?0

чтобы усложнить?

ну например для проверки прав пользователя

безопасность от этого не увеличится

права ты также будешь проверять на сервере

есть ли у него определённый scope в правах или нет

а если он обновился на сервере, а в жвт старые?

ну буду, но для этого не надо ходить в базу)

да

жвт нужен, чтобы токен в базе не хранить

жвт нужен, чтобы токен в базе не хранить

как отозвать?

если обновился на сервере то нужен костыль, чтобы выдать ему новый

а что плохого то в том, чтобы ходить в базу?

базы для того и нужны, чтоб в них ходили

как отозвать?

через дату смены пароля или еще какойто таймстемп, если пароля нет

да я не говорю, что с jwt проще

подпись меняется - токен не валиден

и что в базу ходить вообще не надо

через дату смены пароля или еще какойто таймстемп, если пароля нет

то есть отвалятся все сессии сразу?

подпись меняется - токен не валиден

как один токен отозвать?

если такой кейс есть - то никак

ну

то есть зайти с мобильника и десктопа не получится

как всегда все надо смотерть в разрезе задачи

либо получаем дыру либо кукис)

либо получаем дыру либо кукис)

короче расстроил меня(

куки - способ хранения токена, сам токен то тут причем

ещё раз

JWT для сессий юзать тупо нет смысла

бессмысленное усложнение системы

а чё сейчас вообще стильно, модно, молодёжно использовать для аутентификации?

а чё сейчас вообще стильно, модно, молодёжно использовать для аутентификации?

классика

ну, сессий т.е., да

ничего лучше не придумали и врятли придумают