После того, как выдал , но до след запроса

Как вариант

В течение 1-2 минут? Странная ситуация. Но тогда да, надо лазать в БД и проверять. Правда юзеров из базы обычно не удаляют (максимум - скрывают)

Я об этом писал, если вдруг реально удаляют из базы

В общем - есть кейсы

Но редко

Хотя стоп. А нафига id юзера проверять в БД, если там внешний ключ? И так ругнётся

А по поводу секьюрности - в любом случае это раскрытие структуры payload как вектора атаки на авторизация

Так и куку ты так-то посмотреть можешь

Ну вот мне и нравится JWE - шлешь юзеру шифротекст, а там пусть попробует расшифрует и ключ подберет

ого тут дискуссия) Спасибо за комменты всем, будем делать рефреш токен)

у меня другой вопрос назрел, как правильно организовать сброси пароля. Сейчас у меня так:
1. Пользователь жмёт кнопку сброса пароля
2. На сервере формируется токен и ссылка с этим токеном, которую я отправляю на почту пользователя
3. Пользователь кликает по ссылке - я получаю гет запрос с токеном, проверяю что токен у меня есть и показываю на сайте окно для ввода нового пароля
4. Пользователь отправляет новый пароль и токен, я проверяю токен и если всё ок - сохраняю новый пароль
Есть ли тут уязвимости?

Можно вести блеклист и проверять его на каждом запросе, у меня в токене зашит id пользователя. Если сделает запрос, то просто не выполнится этот запрос

Если в jwt хранится id из таблицы сбросов пароля и jwt имеет время протухания и не смущает что гет запрос будет длинным то наверно жить можно

Всем привет, подскажите может кто знает, были ли попытки раньше локалезировать доку неста?

Там же все в картиночках и примерах кода

))

Это не нужно от слова совсем

Нет ну мб кому то все таки и нужно , но семплом по которым можно понять суть предостаточно

Даже с не очень хорошим пониманием английского прочитав 2-3 раза всё равно поймёшь.