[Arveit]

bezpieczne jest trzymanie tokena JWT w local storage?
#frontend #programowanie

[anonim1133]

@Arveit: Chyba średnio jest wybór, co? :P

[Arveit]

@anonim1133: no tak średnio właśnie. Ale nie ogarniam jak to może być bezpieczne. I co, w każdym requeście wysyłam token, a co jak ktoś mi podsłucha jsona? :|

[anonim1133]

@Arveit: Https jest zdaje się szyfrowany. Ale ogólnie jak stracisz token/sesję to faktycznie raczej jesteś w pupie.
Pewnie można by z tokenem kojarzyć przeglądarkę/ip czy coś, ale to kolejne problemy tylko, raczej nie warto :P

[Arveit]

@anonim1133: to robię tak, skoro tak. Ech, zawsze mi ten auth problemy sprawia, boję się tego, że będzie dziurawe :D

[epi]

@Arveit: po pierwsze masz https
po drugie to token ma czas życia i co pewien czas go odświeżasz ;)

[Arveit]

@epi: to spoko. Jeden problem z głowy :D

[epi]

@Arveit: https://auth0.com/blog/refresh-tokens-what-are-they-and-when-to-use-them/

[PrawyKuba]

@Arveit: ustaw krótki czas życia na token, dłuższy na refresh token, w razie jakiejś imby blokujesz refresh token i pora na ceeska. ( ͡° ͜ʖ ͡°)

[pkh]

@xdeidara: to nie ma sensu. Jezeli ktos wykradl token, to znaczy ze ma konrole nad komputerem klienta i moze robic requesty z jego maszyny.

[TheFuckingRoses]

@Arveit: a gdzie chcez go trzymac by byl bezpieczny? ( ͡° ͜ʖ ͡°)

[LepiejWcaleNizPozno]

@TheFuckingRoses: sessionStorage

[TheFuckingRoses]

@LepiejWcaleNizPozno: ale nie udostepnisz go pomiedzy zakladkami, dwa ze dalej cie to nie zabezpiecza przed przekazaniem tokena