AS
Size: a a a
2019 December 25
I
Самый безопасный - сверять сетчатку глаза, но стоит ли он информации которую защищает?
ну если информацией считать данные пользователей, то это самый опасный получается, так как теряется анонимность. Нужен некий баланс между анонимностью и авторизуемостью: чтобы ровно один пользователь мог войти, но чтобы нельзя было сопоставить виртуальному пользователю реального человека.
S
Надо как-то сохранять состояние, что именно этот пользователь вошел в систему и там и остается
авторизация не про это. авторизация - это про "пользователь такой-то имеет право на выполнение такого-то действия". А вот "этот запрос пришёл от пользователя id456, зуб даю" - это аутентификация. А как она реализована - через логин и пароль, через куку или токен - это уже отдельный разговор
ВС
JWT с асинхронной подписью и двумя токенами - access и refresh
Главное жёстко задавать разрешённые алгоритмы. А то есть пара интересных классов атак: замена алгоритма на none и замена ассиметричного алгоритма на симметричный