A
Size: a a a
2021 June 18
AB
+++ уже 100500 раз обсуждали это и есть best practices
AB
а в JWT не нужно хранить ничего секретного
AB
ID, логин, язык, часовой пояс... чё там еще нужно
S
Почему нет, рефреш токен должен быть под 7 замками, зачем его хранить в локал сторедже, чтобы его угнали и нагенерили себе access токен?
AB
обновление accesstoken сразу отменяет все старые токены
AB
ну и у accesstoken обысно время жизни очень маленькое
S
Ну так поэтому рефреш токен не должен наружу выпирать)
AB
ну а куда его?
AB
вы точно умеете во frontend?
S
Я точно не умею во фронтенд, но хранить так токены не звучит, как очень надежный план.
K
Как его угонят? Пример в студию
АК
K
Я говорю про куки
AB
ну....
АК
причем тут куки? ребята говорили про то, что в локалсторейдже не стоит хранить рефреш токен
АК
потому что могут угнать чере xss
АК
из сикрет кук такого не будет