Дык вроде для этого есть секрет-кеи всякие

Ребят, где взять информацию по теме - нужно в приложении сделать несколько шаблонов, и в каждом шаблоне несколько страниц, шаблоны ничего общего не имеют, допустим шаблон1-основной сайт с прайсами галереей итд, а шаблон2 - админка с несколькими страницами... хотелось бы както через роуты все сделать правильно, а не просто в админке менять отображаемые компоненты

Токен можно увести же

А по какой теме-то? Что такое шаблон? Как хранить? Или тебя надо вообще научить что это и как делается от и до?

обычно. а в чем пробелма?

А что он даст без секрет-кея? Токен у пользователя обычно привязан к IP и другим вещам, типа юзер-агент

Как читать куку джаваскриптом?

https://dev.to/rdegges/please-stop-using-local-storage-1i04

зачем?

Ты уводишь jwt токен у пользователе, если он валидный сможешь сделать с ним запросы на сервер, и они будут валидны.

На клиенте узнать авторизован ли я.

Допустим я его увел. Делаю запрос, а сервер проверяет токен и говорит что он привязан к другому IP. Чо делать тогда?

Допустим я его увел. Делаю запрос, а сервер проверяет токен и говорит что он привязан к другому IP. Чо делать тогда?

ты проверяешь айпи по каждому запросу?

Допустим я его увел. Делаю запрос, а сервер проверяет токен и говорит что он привязан к другому IP. Чо делать тогда?

ну если у тебя 1 запрос в минуту то все ок

Эм, ну у тебя авторизация будет пропадать каждый раз, как пользователь будь провайдера менять

а это что, узкое место?)

Да, верно. Так и должно быть.

ну в jwt

ну смотря где хранить айпи, в принципе

Зачем хранить IP?

ну ты же проверять его сам собрался.

я его не храню нигде ибо это дебилизм

я его не храню нигде ибо это дебилизм

обалдеть. да какая нахер разница))) ну хеш ты сравниваешь, ок)))

не вижу логической связи

Смотри, я авторизуются пользователя, на сервере пишу хттпонли куку. Что дальше? Как мне при перезагрузке страницы на клиенте узнать, что я авторизован?

декодишь JWT, он подписан ключем, в нем есть IP кому выдан токен, если даже токен увели, то делай проверку на IP. ни одного запроса в базу тут не нужно.

присилай что-то помимо самой куки в случае успешной авторизации

И где это хранить?

декодишь JWT, он подписан ключем, в нем есть IP кому выдан токен, если даже токен увели, то делай проверку на IP. ни одного запроса в базу тут не нужно.

У тебя при смене провайдера будет авторизация слетать, лол

У тебя при смене провайдера будет авторизация слетать, лол

И где это хранить?

лол, если токен не увели - не будет.

Берем все данные необходимые: токен, IP, юзерагент. Делаем единую строку и считаем хеш. Сравниваем с существующим. Всё!

БД, кеш, redis. Где будет удобнее и быстрее.

имеет смысл сравнивать только когда рефрешишь токен, а не на каждый запрос.

Пофигу что токен уведут, он не должен быть долгоживущим, а при рефреше все старые должны инвалидироваться

Эм, ты же по айпи проверяешь. Сменился айпи — слетела авторизация

На клиенте? :-)

не должно быть пофигу, это security risk даже если токен живет 15 минут

Боюсь вы не найдёте варианта, который нельзя было счесть за секурити-риск

ну выдавай по другим принципам, фингерпринт браузера, ещё что-либо, систему скоринга сделай, суть в том, что запросы в базу делать даже не придется.

Я как бы в курсе как jwt работает. Я не понимаю зачем проверять по айпи, это себе в ногу стрелять.

На клиенте обычно куки.

Я как бы в курсе как jwt работает. Я не понимаю зачем проверять по айпи, это себе в ногу стрелять.

только по IP - да. я тут не за то, что проверять только по IP - это хорошо и правильно. я за то, что для того, чтобы получить все данные для валидации, не нужно ходить в базу. они могут быть уже в самом токене.

только по IP - да. я тут не за то, что проверять только по IP - это хорошо и правильно. я за то, что для того, чтобы получить все данные для валидации, не нужно ходить в базу. они могут быть уже в самом токене.

Я как бы в курсе как jwt работает. Я не понимаю зачем проверять по айпи, это себе в ногу стрелять.

Данным от пользователя нельзя ведь доверять. Как же ты доверишься токену, в котором IP?

Данным от пользователя нельзя ведь доверять. Как же ты доверишься токену, в котором IP?

только по IP - да. я тут не за то, что проверять только по IP - это хорошо и правильно. я за то, что для того, чтобы получить все данные для валидации, не нужно ходить в базу. они могут быть уже в самом токене.

почитайте как работает jwt, и все поймете :)

тебя за хранение айпи в токене Еврокомиссия трахнет на 200 миллионов долларов, например

В чате перепись жуниоров, не понимающих как работают jwt

проверка по айпи норм, но только при рефреше например, или еще по какому-то триггеру важному, типо сбросу пароля. но каждый запрос имхо это перебор.

По ходу и ты тоже не понимаешь.

Я-то понимаю что такое пейлоад в токене и как токен верифицируется