Телеграмм чат группы prophp7 страница 10021

из той группы
Народ, кто юзает JWT — вы вообще в курсе, что он по спеке при проверке токена (то есть до подверждения его валидности) ходит по урлам, указанным в этом токене?

речь об rfc? где об этом почитать?

источник

20:39пожаловаться #7

knopkod4v in PHP

cyph3r

там ссылка есть же

источник

20:39пожаловаться #8

cyph3r in PHP

а. там чуть иначе. но суть в принципе та же. можно ssrf залабать

источник

20:42пожаловаться #9

Anton Karpov in PHP

гы-гы, что-то композер перебрал 😂

источник

20:47пожаловаться #10

Dmitry MiksIr in PHP

я вообще тут встретил единственный интересный кейс использовования jwt где он более-менее оправдан

источник

20:48пожаловаться #11

Dmitry MiksIr in PHP

генерация ссылок для просмотра закрытого видеоконтента на видеохостингах, если онный такую возможность предоставляет

источник

20:48пожаловаться #12

d-Metrius in PHP

Да все с ними нормально, если юзать только их не как сессию, не смотреть в базу, выдавать токены минут на 15 и не ходить ни по каким урлам, валидировать только подпись у себя же на сервере, но это наверное редкий юзкейс.

источник

20:59пожаловаться #13

Dmitry MiksIr in PHP

ага, а так же ротировать ключ, ибо не дай бог он утечет, а лучше вообще в отдельный сервис... а профит то какой? ну разве время ответа несколько мс экономить

источник

21:03пожаловаться #14

d-Metrius in PHP

Профит у нас только не ходить в базу за юзером, его данными и правами

источник

21:03пожаловаться #15

Dmitry MiksIr in PHP

так се профит

источник

21:05пожаловаться #16

Sergey Protko in PHP

Профит от jwt и прочих hmac когда у тебя за сессии отдельная шляпа отвечает