Телеграмм чат группы js

Safari not setting CORS cookies using JS Fetch API

гайз, привет
сталкивались с проблемой cross-origin кук в сафари?

есть 2 совсем разных домена, фронт и бэк, бэк ставит куку аутентификации, CORS настроен, FF и Chrome работают, а Safari нет
мб есть вариант это обойти?

вот топик на SO
https://stackoverflow.com/questions/42301884/safari-not-setting-cors-cookies-using-js-fetch-api

Stack Overflow

I am unable to get Safari to successfully apply Set-Cookie from server responses when using the Fetch API (actually, via the fetch polyfill). The same code works correctly in FF and Chrome (I tested

🤔 Можно поднять экспресс и проксировать всё, включая авторизацию. Кроме этого, это позволит получить ещё ряд плюшек - кучу штук можно будет делать, не трогая бэкендеров)

11:38пожаловаться #9

A

BFF =)

11:46пожаловаться #10

A

единственный минус это ответственность за его здоровье теперь на тебе)

11:46пожаловаться #11

NV

Neck Varentsov in JSNN 🤔 (GSNN)

мб понабрасываем на вентилятор
есть какие-то минусы в безопасности при использовании авторизации по токену вместо http only куки в браузере?
например может ли 3rd party code читать твой локалсторадж?

13:27пожаловаться #12

A

мб понабрасываем на вентилятор
есть какие-то минусы в безопасности при использовании авторизации по токену вместо http only куки в браузере?
например может ли 3rd party code читать твой локалсторадж?

любой скрипт на твоей странице может читать localstorage

https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/HTML5_Security_Cheat_Sheet.md#local-storage

13:29пожаловаться #13

NG

N Gafarov in JSNN 🤔 (GSNN)

GitHub

OWASP/CheatSheetSeries

The OWASP Cheat Sheet Series was created to provide a concise collection of high value information on specific application security topics. - OWASP/CheatSheetSeries

13:29пожаловаться #14

NV

Neck Varentsov in JSNN 🤔 (GSNN)

гуд, спасибо
мб ту проблему с сафари можно обойти если бэк и фронт будут на поддоменах одного домена?

13:38пожаловаться #15

A

вообще мультидоменная авторизация это ОЧЕНЬ сложная штука и если ее можно избежать, ее определенно стоит избежать

13:40пожаловаться #16

NV

Neck Varentsov in JSNN 🤔 (GSNN)

в общем с поддоменами работает

13:57пожаловаться #17

SS

Sergey Smyshlyaev in JSNN 🤔 (GSNN)

OAuth Bearer Tokens are a Terrible Idea

мб понабрасываем на вентилятор
есть какие-то минусы в безопасности при использовании авторизации по токену вместо http only куки в браузере?
например может ли 3rd party code читать твой локалсторадж?

Конечно https://hueniverse.com/oauth-bearer-tokens-are-a-terrible-idea-1a300fd12e13

Medium

My last post about the lack of signature support in OAuth 2.0 stirred some very good discussions and showed wide support for including a signature mechanism in OAuth 2.0. The discussions on the…

14:20пожаловаться #18

PM

Pavel 🦇 Malyshev in JSNN 🤔 (GSNN)

мб понабрасываем на вентилятор
есть какие-то минусы в безопасности при использовании авторизации по токену вместо http only куки в браузере?
например может ли 3rd party code читать твой локалсторадж?

15:24пожаловаться #19

DR

D R in JSNN 🤔 (GSNN)

если соблюдаются спецификации JWT, и правильно хеширован HMAC то нет .