вообще сама проблема украденных токенов кажется немного надуманной, если токен и крадут по вине юзера, они смогут делать это постоянно

вообще сама проблема украденных токенов кажется немного надуманной, если токен и крадут по вине юзера, они смогут делать это постоянно

Я знаю че делать

вообще сама проблема украденных токенов кажется немного надуманной, если токен и крадут по вине юзера, они смогут делать это постоянно

неа

совсем не надуманная

Надо 10 сек токен. Я уже говорил

вот допустим была у тебя 0-day уязвимость

токен увели

уязвимость закрыли

все, никакого "постоянно"

Надо 10 сек токен. Я уже говорил

это не решит проблему длинных рефреш токенов

это другая полярность - очень редкая утечка. Настолько редкая что можно и всем юзерам рефрешнуть токен

на самом деле речь не только об утечках

задача: написать сценарий логаута пользователя )

а вот это уже интересней )

Что значит сценарий логаута?

переизобретаем веб итт

ну после логаута используемый токен должен быть невалиден

логично?

Что значит сценарий логаута?

ну грубо-говоря как "испортить" токен моментально

Illya клёвая вступительная анимашка. Спасибо за видео.

потихоньку облагораживаемся

инвестор появился, ёпта :)

А обнулить если юзер кликнет логаут? А если он кликнет в оффлайне?

А обнулить если юзер кликнет логаут? А если он кликнет в оффлайне?

ты видосик смотрел?

речь идет о невалидности на сервере

в телеграме, фб, гмейле, где угодно

есть кнопка

Нет))) не смотрел

инвестор появился, ёпта :)

Конград )

"прервать все сессии"

Нет))) не смотрел

посмотри, поймешь о чем речь )

да, я трудился, презенташку рисовал

Точно. Тогда можно рефреш токен долгосрочный удалить. А что делать с тем что не долгосрочны

Точно. Тогда можно рефреш токен долгосрочный удалить. А что делать с тем что не долгосрочны

удалить не равно сделать невалидным )

удалить не равно сделать невалидным )

Ага. Тогда надо что то сохранять в токене и обнулять это что-то

Кажется jti для этого

нет

Тогда как делать невалидным. Про это в видео?

Тогда как делать невалидным. Про это в видео?

Оно 10 минут

Не 3 часа

)))

Не имеет значения

Если юзер сознательно обнуляет

Речь об этом

У юзера два устройства

Телефон и комп

Телефон украли

Как с компа разлогинить телефон

На телеграме синк у всех глючит? (машина времени)

Как с компа разлогинить телефон

Хранить идентификатор в токене и обнулять его.

В каком токене

Если с телефона зайдёт со старым токене с левым идентификатором, то не пускать

немного поковырял мун. Если отсуствие фильтров я еще переживу, то вот без ref будет тяжелее. Но в целом, если надо заиплементить калькулятор на лэндосе, или что-то в этом роде, вполне себе годно. Этакий младшенький братец вуе для небольших поделок.

Если с телефона зайдёт со старым токене с левым идентификатором, то не пускать

И это ничем не лучше сессий

И это ничем не лучше сессий

Тогда какой рецепт

Нам все равно хранилище придётся дергать

в общем и целом что-то дергать всегда придется

Ага я понял. Нам так придется на каждый запрос дергать

А не только тогда когда рефреш.

Ок, тогда как быть?

Не юзать jwt

Отлично. В видео про это тоже есть?)))

В видео есть про схему :)

И все

А можно ещё вот так сделать. Тот идентификатор не проверять, пока от юзера не будет запроса на логаут!

Хахаха

И все

Решено

Юзайте)))

?

Ну сохранять идентификатор как я говорил. Но не проверять его каждый запрос, а только тогда когда юзер нажмёт этот самый логаут. После этого расшифровывать пейлоал с других устройств и не пускать

Это никак не поможет

Как это не поможет. Ещё как поможет. Какие доводы что не поможет? Приходит токен, смотрим содержимое, содержимое левое, не пускаем

Как это не поможет. Ещё как поможет. Какие доводы что не поможет? Приходит токен, смотрим содержимое, содержимое левое, не пускаем

Нарисуй схему

Мы то этот идентификатор меняем когда юзер нажимает логаут

да

приходит старый токен - нам все равно надо сделать запрос в хранилище сделать

чтобы знать что токен "старый"

Да. Ну так ничего, это ж уже опасные запросы будут