@LazyInitializationException: chcesz wiedzieć jak to powinno działać ? Tak ze token jest tylko w lokalnej zmiennej zapisaniu po stronie frontu i wysyłany w headerze. Od backendu do frontendu I tak zaczniesz się śmiać, ale stety niestety tak powinno używać się Bearer tokenów. I nie ma czegoś takiego jak refresh token bo nie zgadza się z z pierwotnym założeniem JWT.

Refresh token w localStorage ? Heh ok
Acces token to przepada jak już po 5-10min lub po zamknięciu

RefreshToken to user sobie trzyma, a nie my ? To jak go walidujemy jeśli ma on być random stringiem a nie drugim podpisanym tokenem? Jeśli nie walidujemy go to po co wgl goPokaż całość

@Makurise: mamy 2021, httponly i SameSite: strict i secure jak już chcesz pokazać jaki obrotny jesteś.

@LazyInitializationException: jutro Ci podlinkuje dokumentacje związana z tym standardem zabezpieczenia plus kilka dokładniejszych odpowiedzi na stackoverflow. Bo tak jak Ty napisałeś to spoko zrozumiałe, tylko tak nie wyglada prawidłowa implementacja

@Makurise: Super, tylko ja chce w skrócie dowiedzieć się jak prawidłowo używać jwt. Gdzie chować jak używać itp itd. Pierdyliard różnych artykułów, dokumentacji, wywiadów oglądałem. I jest conajmniej kilka sposobów gdzie potem na stackoverflow zawsze ktoś mówi ze jest źle. Ze tu refresh token ma być w bazie danych, tu ze w storage jak redis. Po stronie użytkownika ma być tu tam albo nie ma być go nigdzie bo jest Bearerem i tylko ma być przekazywany i jednorazowy. W pracy senior *ha tfu* mówi ze ma być w local storage. I #!$%@? mnie trafia. To jak ma być. Każdy poradnik robi inaczej. Ten w bazie danych refresh token ten wgl nie ma refresh token, ten robi refresh token random stringiem a tamten jako drugie jwt z czasem 7dni.
Ten wysyła w body, tamten ciasteczko a tamten w headerze. Ten co mówi ze ciasteczko to ze ma być HTTP only ale dwa posty dalej pisze żeby użytkownik wysyłał przy req jako header authorization Bearer. Ale jak kiedy z HTTPonly nie da się wyciągnąć z poziomu JS wartości ? Jestem zagubiony i zdenerwowany. Potrzebuje pomocy a pierwsza odpowiedz była tak napisana ze nie była pomocna pisząc ze token ma być w ciasteczku i wysyłany w headerze.

Może coś mi umknęło, nie wiem. Naprawdę staram się i sporo przeczytałem, przerobiłem przykładów.

Nie chce złych nawyków zdobyć czy złego korzystania z narzędzi dlatego szukam odpowiedzi, dokładnych i logicznych z podstawa dlaczego tak jest a nie inaczej. To co napisałeś z tym ciasteczkiem było zrozumiałe, miało podstawę i było wytłumaczone. ZaPokaż całość

Jak pierwszy raz użyłem jwt to spoko. Teraz w apce chciałem zrobić to jak należy w 100%, zacząłem czytać i tak siedzę któryś dzień bo każdy inaczej sobie to wymyśla. Nawet są ludzie którzy robią jeden token podwójny w którego payloadzie jest refresh token.

@cppguy: Dobrze, przeczytałem już wcześniej i ja to rozumiem w taki sposób ze działa to jak zwykły middleware tylko zamiast dodawać do każdej drogi jest on automatycznie dodany. I nie wiem czy to prawidłowo rozumiem. Dlatego tez zadałem to pytanie i prośbę o jakiś realny use case tej funkcji.

@srgs: Opcja okej, ale podobno tez podatność według owasp :/

@rybeczka: przepraszam

@rybeczka: Cofam, wg definicji jest to nie tylko przetwarzanie sygnałów ale i wszelkiego rodzaju urządzenia o które pytałem

@Tremade: Ta, bo przecież nie chodzi o to ze ta akcja jest #!$%@? i chciałem znajomemu wysłać. Na pewno wale gruchę do dwóch spoconych czarnuchow

@TrashRacoon: to wystarczy jeszcze co oznacza żeby makro się składało i już będzie wszystko. Bardzo dziękuje za odpowiedz :)