Аутентификация веб-токена JWT

Question

Я занимаюсь разработкой приложений для Angular и NodeJS.Я хотел бы настроить службу аутентификации.

Когда пользователь подключается к моему приложению, сервер отправляет ему токен, действительный в течение 30 минут.Я восстанавливаю токен каждый раз, когда истекает срок действия другого.

Но есть проблема: если пользователь украл мой токен (я не знаю, как), он может вернуть мой сеанс на свой компьютер.

Как решить эту проблему?

Спасибо!

Answer 1

Если кто-то получит ваш токен, то сервер будет считать это за вас.Дело в том, какой из них вы хотите защитить: алгоритм или ключ (токен).Токен похож на ворота в здание.Чтобы войти в здание, вам обычно нужно зарегистрироваться в отделе обслуживания клиентов, сменить ID на карту доступа.Эта карта доступа - ваш токен JWT.Если кто-то украл карту доступа, он может получить доступ к зданию.

Теперь вы можете смоделировать вашу аутентификацию, как офисное здание, есть несколько уровней доступа.Таким образом, даже если токен каким-то образом украден, их доступ ограничен.Например:

1. Обычный пользователь
2. Администратор
3. Супер-администратор

Может быть, для супер-администратора вы не просто используететокен, но проверьте IP-адрес или используйте другой метод.Вы можете гуглить больше, нет фиксированного правила, это зависит от уровня безопасности, который вы хотите навязать.Основными являются те 3 выше