Телеграмм чат группы itarchitect страница 3809

Viktor Alexandrov

поэтому, видимо, многопоточно обновить access — норм)

А на основании чего его обновлять? Если по предыдущему access - то защиты нет.

15:44пожаловаться #1

Denis Migulin

refresh token не обязательно одноразовый (по спеке)
пример понял, но имхо вероятность словить проблемы сети гораздо выше, чем компрометацию

многоразовый использовать уже моветон-с

15:45пожаловаться #2

Denis Migulin

а пофиг, тут главное хороший симптом, а дальше уже софт СБ пусть разбирается.

15:45пожаловаться #3

сессию автоматом экспайрить при смене айпи

15:45пожаловаться #4

Phil Delgyado

А на основании чего его обновлять? Если по предыдущему access - то защиты нет.

нет, по сессии на OP

15:45пожаловаться #5

/auth?...prompt=none

15:45пожаловаться #6

Viktor Alexandrov

нет, по сессии на OP

Ну, это та же серверная кука фактически - и, кстати, тут с многопоточностью таки проблемы...

15:45пожаловаться #7

Phil Delgyado

Ну, это та же серверная кука фактически - и, кстати, тут с многопоточностью таки проблемы...

если сервер автоматом экспайрит старые акссессы — то да, а если нет — то нет проблем

15:46пожаловаться #8

Denis Migulin in Архитектура ИТ-решений

кстати, а с OAuth 2.1 кто-то уже заморачивался?

15:46пожаловаться #9

"старые" == предыдущие

15:46пожаловаться #10

Mutko says

сессию автоматом экспайрить при смене айпи

Увы, IP вообще не третий фактор никак. Слишком много людей на одном сидят и слишком просто подделывается

15:46пожаловаться #11

мне нравится как реализовали ребята в клабхаусе

15:47пожаловаться #12

выдают short-lived токен

15:47пожаловаться #13

И?

15:47пожаловаться #14

рефреш все дела

15:47пожаловаться #15

но используют auth-token =)

15:47пожаловаться #16

у тебя три токена

15:47пожаловаться #17

два из них можно использовать для получения новых

15:47пожаловаться #18

Давай подробнее или ссылку )

15:48пожаловаться #19

но третий auth-token - загадка)