[Koprowy]

JWT + React. Czy jak sprawdzam czy uzytkownik jest zalogowany to wystarczy ze sprawdze czy token z local storage ( czy jest tam ) lub wygasł czy powinienem wykonać request na server w celu sprawdzenia poprawnośći tokenu. Głównie chodzi mi o zabezpieczanie routes ale zeby tez w czasie odswiezenia strony uzytkownik ktory ma poprawny token nie został wylogowany
#programowanie #react

[Hauleth]

@Koprowy: powinieneś wysłać do serwera. A najlepiej to użyć ciastek zamiast Authentication: Bearer

[Koprowy]

Czyli np zrobić np route /valid i kiedy user odświeża stronę sprawdzać czy token wygasł lub tez nie został zmieniony?

[cybul26]

@Koprowy: no ale czy przy odświeżeniu strony nie wysyłasz requestu o jakieś dane i w nagłówku nie wysyłasz tego tokena? Jeżeli będzie niepoprawny, backend zwróci błąd i powinno być wszystko okej. No chyba, że to jakaś podstrona bez ładowania danych z backendu, wtedy request sprawdzający token jest wskazany.

[Koprowy]

@cybul26: Faktycznie, robie GET na praktycznie każdym route. Więc wtedy dostane Unauthorised 401 i przekieruje do logowania. Dobra dzięki wielkie ;)

[relationbrewingarea]

@Hauleth: czemu używać ciastek w przypadku PWA?

[Hauleth]

@relationbrewingarea: a gdzie trzymasz token? WebStorage? Jak tak to jedno XSS może spowodować, że cała aplikacja będzie złamana. JWT z Bearer dzielnie stara się naprawić wszystkie problemy, które ciastka mają rozwiązane już od dawna.

[relationbrewingarea]

@Hauleth: używam localStorage. JS przecież ma dostęp do ciasteczek, które nie są HTTP-only, a te które są i tak są załączane do zapytań wykonywanych przez JS, więc i tak jest to podatne na XSS.

[Hauleth]

@relationbrewingarea: dla tego HTTP-only cookies

[relationbrewingarea]

@Hauleth: tyle że tak jak pisałem wcześniej one też są podatne na XSS, a dodatkowo jeszcze na CSRF. Ciasteczka nie nadają się do użycia z API.

[danek_szy]

@relationbrewingarea: Nie do końca, bo nie są wysyłane do obcych originów...

[relationbrewingarea]

@danek_szy: zależy od konfiguracji CORS.

[danek_szy]

@relationbrewingarea: Wszystko możesz źle skonfigurować. Nie jest to argument przeciwko czemukolwiek...