Виды авторизации: сессии, JWT-токены. Для чего нужны сессии? Как работает JWT? (+ разбор ошибки)

Привет! Это видео является частью моей лекции в рамках проекта "ITMO.Mentors". Сегодня поговорим о самом процессе авторизации, о сессиях и токенах, разберём ошибку из прошлого ролика.

Полезные ссылки:

Таймкоды:

00:00 Вступление
00:05 Точки над Ё
02:16 Сессии
06:39 Токены
11:08 Что такое JWT?
13:15 Пара токенов
14:36 Что почитать?
15:22 Разбор ошибки

[ВасилийП-чр]

Все четко и по делу. Хорошо расписано и понятно. Лайк и подписка

[TheEBPO]

Время жизни токена устанавливается на стороне сервера кодером, ну и конечно устанавливаются те числа которые нужны по логике кодера ))
Спасибо за видео!

[耳に胼胝ができる]

12:40 в итоге получаем особый вид вредительства - "разлогинивание пользователей каждую минуту" =)
14:30 ошибка. если истек refresh token, то это разлогинивание без иных вариантов. Для того, чтоб избежать разлогинивания, за определенный период времени перед истечением refresh token необходимо отправить запрос на его обновление. Например, если сам токен живет месяц, то за неделю до его истечения обновляем refresh token

[naopopichah]

Мне здорово помогла эта инфа! И прикрепленная тоже.
спасибо мужик, удач во всем (сообщение более пяти слов для алгоритма ютьюба))

[ziegimondvishneuski]

Нет ничего невозможного, все зависит от времени, мастерства и желания

[ko]

Про токены: если refresh токен получил злоумышленник, но он может сам создать токен. Поэтому сторонние плагины при получении доступа к access token, могут получить доступ и к refresh токену.

Путь решения проблемы автор ролика упоминул, - разлогиниться.

[alexalexov]

Видео классное, но jwt токен можно подменить, если ключ шифрования не был достаточно надежен, можно забрутфорсить

[Пётр-ди]

Сессия и токен это не виды авторизации. Сессия это единица учета пользователя в системе. А токен это расширенный формат этой единицы учёта, в нём есть заявки пользователя. В обоих случаях, сама авторизация происходит потом, на основе этой единицы учёта. Те же jwt токены так же нуждаются в сессиях и их управлении. Черный список не решает проблемы токенов, потому как кроме всего прочего необходимо вести учёт того сколько раз пользователь зашел под одним и тем же аккаунтом, иначе шаренный аккаунт будет юзаться всеми кому не лень. jwt был придуман для того чтобы разгрузить процесс авторизации(проверки пермишенов), а не для того чтобы заменить сессии.

[МуктарбекИшенбеков]

Уважаемый друг! Спасибо за видиеоурок. Скажи пожалуйста как можно решить следующую аутентификацию когда появляются на телефоне два разные токена при авторизации в виде семизначными цифрами и второе шестизначными цифрами на короткое время и просят нажать кнопку отправить и исчезает. А на следующем этапе появляется один токен с другими шестизначными цифрами и требует записать второго токена семизначного цифра. Как можно решить такую аутентификацию? Помоги если сможешь.

[ziegimondvishneuski]

Какой в едренефене доступ к обновляемому токену? Обновляемый токен является одноразовым и если злоумышленик его получает, то у тебя получается проблема, так как ты получишь уведомление, о том что твой токен неверен"протух".

[МихаилКомаров-ий]

Спасибо за ролик. Но всё-таки как на сервере "расшифровывается" содержимое jwt, если sha256 - необратимое шифрование?

[ruffle]

На практике можно болт положить на устройство jwt токена за 3-4 года работая с микросервисами где токены активно юзаются ни разу об этом не думал так мельком гуглил шо оно такое вначале и благополучно пошел дальше, но на каждом собесе это цепляют.. - спрашивается вот зачем каждому разработчику знать эту подноготную?? - если ты не работаешь над auth модулем или чем то где вот именно эти знания реально нужны - как впрочем и др топики из этой же серии: сборка мусора - мне глубоко до 3, 14 как оно там собирает мусор - сборку мусора для того и придумали что б я об этом не парился. 0, 1% задач где это важно в остальных случаях это только нагружает мозг и замедляет процесс написания кода - ведь мозгу приходится процессить мне создать как обычно класс или всё-таки структуру.. - я так понял что мир полон задротов которые хотят всех под свою гребенку расчесать когда спрашиваешь интервьювера а зачем мне под ваши реквайрменты знать то что ты спрашиваещь - в 9 из 10 случаев человек меньжуется ну типа я общий уровень проверяю..

[RomanKoshetov]

не стуртурированно. С самого начала начал вскользь бегать по разным аспектам. Крч в башке каша одна после видоса

[ЯщикПочтовый-шх]

После 9 минут просмотра ни слова про oayth и собственно jwt. Заголовок кликбейтный, дизлайк

[artemovskiy]

Нести откровенную чушь важным тоном и учить людей тому, в чем сам не разбираешься - это особый скилл.
«Сессия хранится в куках» - восхитительно

[КшиштофБзжински]

Недавно на сайте вконтакте уаидел в payload мои данные в нешифрованном виде, как такое возможно?

[rajapboyev]

Спасибо за ролик. Но всё-таки как на сервере "расшифровывается" содержимое jwt, если sha256 - необратимое шифрование?