[sztilq]

#nodejs #javascript #programowanie

Mirki do apki pod angulara jak najlepiej zarządzać dostępem do zasobów? pakiet jsonwebtokens, czy może lepiej moduł passport?

[m.....t]

@sztilq: Generalnie jedno nie ma za wiele z drugim wspólnego. Możesz używać passporta z JWT. JWT to sposób identyfikacji użytkownika, passport to moduł do obsługi procesu, który zachodzi na tej drodze. Passport może korzystać też z Oauth ostatecznie zamieniając id usera (google id) na token (JWT), którym owy user się posługuje. Myśl o passporcie jako o middleware do obsługi identyfikacji a JWT jako o kluczu identyfikacyjnym użytkownika. Jak masz pytania

[bonus]

@sztilq: A do czego konkretnie potrzebujesz JWT? Jakiego typu aplikacja, bo JWT nie sprawdza się wszędzie.

[sztilq]

@mortt: @bonus: mam api do którego po prostu chciałbym się odwoływać w aplikacji typu spa i myslalem ze tokeny to nie jest zły sposób uwierzytelnienia, ale sam nie wiem jak najlepiej zrobić zarządzanie userami.

[bonus]

@sztilq: Może nie jestem ekspertem, ale z własnego doświadczenia. Też chciałem robić spa zaimplementowałem JWT, ale generalnie to ciężkie zadanie, trzeba robić równolegle 2 poziomy zabezpieczeń na klienta i backend, a mimo to wciąż czuje się, że aplikacja jest dziurawa, bo uwierzytelniasz klientem a nie serwerem. JWT bardziej się sprawdzi w aplikacjach gdzie masz rzeczywiście api i udostępniasz je użytkownikom np. udostępnianie "obrazka" z tokenem który ma czas wygasania czy

[sztilq]

@bonus: wlasnie mam mieszane uczucia co do jwt, ale co nie wpisze to wszyscy na tym robią w node : /

[bonus]

@sztilq: To, że są tutoriale to nie znaczy, że robią. Po prostu ludzie chcą sobie nabić wyświetleń bo nowy gorący temat. Ja też na początku myślałem, że jwt to lek na wszystko, ale wróciłem do starych dobrych sesji.

[m.....t]

@sztilq: ja pracuję z JWT i jestem zadowolony. Generalnie jwt z rotacją tokena + ssl + basic auth wydaje się być OK zabezpieczeniem. Tzn nie jest to wybawienie od wszelkich trosk, banku bym na tym nie stawiał, ale do aplikacji, która nie operuje na super wrażliwych danych daje Ci jakiś poziom zabezpieczeń. Kilka dnia analizowałem temat pod kątem projektu nad którym pracujemy w firmie i wyszło mi, że sesja wymaga

[sztilq]

@mortt: @bonus: super dzieki za pomoc :) self-development po prostu czasami wymaga opinii bardziej doświadczonych