[WyciekMarmolady]

Aktualnie używam JWT do auth, trzymam go w state/localstorage. Wiem że to słabe.
Słyszałem że najlepsze rozwiązanie to JWT, ale dla aplikacji webowych trzymanie go w cookies.
Do tego trzeba mieć 2 API, czy to kwestia samego frontu? Nie wiele wiem o cookies. (api mam jedno dla jwt z passportem)
Znacie jakieś dobre źródło żeby się tego nauczyć?
#pytanie #frontend #webdev #programowanie #react

[Daredzik]

Do tego trzeba mieć 2 API

wot ?

[babysteps]

@WyciekMarmolady: https://stormpath.com/blog/where-to-store-your-jwts-cookies-vs-html5-web-storage

Pamiętaj, że React by design jest odporny na XSS, więc jeśli ufasz temu kontraktowi, to nie ma nic złego w przechowywaniu JWT w {local/session}storage

[Rst00]

@WyciekMarmolady: nie ma nic złego w trzymaniu JWT w local/session storage. Możesz zamiast tego trzymać w cookies ale trzeba to też wtedy zabezpieczyć przez flagę HttpOnly.

[l.....x]

@WyciekMarmolady: Jak backend ogarnie auth na cookiesach, to Ty na frontendzie nawet nie będziesz wiedział, że istnieje coś takiego jak token, nic nie musisz ruszać. Po prostu jak dostaniesz 403 z backendu to przenosisz na ekran logowania i nara

[veranoo]

@WyciekMarmolady: czemu localstorage do jwt jest słabe?

[WyciekMarmolady]

@veranoo: Powiedziano mi że to niebezpieczne, że da się wykraść token.

[WyciekMarmolady]

@babysteps: @Rst00: @ldefix: Dziękuję Wam bardzo

[veranoo]

@WyciekMarmolady: w jaki sposób? Do localstorage ma dostęp okreslona domena

[P.....s]

@WyciekMarmolady: Jeżeli dopuścisz do sytuacji, że z localstorage można wykraść dane to w tej samej sytuacji można równie dobrze wykraść ciasteczka