Apollon_krd Jul 14 at 13:45

Spring Security: работа с JWT токенами

Easy

12 min

Java * Information Security *

Tutorial

Comments 8

SeaBreeze876 Jul 14 at 14:28

Понимаю, что код в статье исключительно для примера. Но доставать из токена username, по полученному username доставать из хранилища UserDetails, а потом валидировать токен совпадением username из токена и username из UserDetails выглядит не слишком практично

Apollon_krd Jul 14 at 14:45

Согласен, в бд ходить каждый раз для проверки пользователя это не практично, но всё таки это учебный вариант и он реализован для простоты. На проде либо в целом сразу доверяют данным из токена, либо один раз ходят в бд и кэшируют в Redis, ну или же используют refresh-token'ы, о которых будет следующая статья

eledev Jul 14 at 16:52

"Сессии и куки - хранятся на стороне сервера". Правда?

Apollon_krd Jul 14 at 17:31

скорее только сессия на стороне сервера, а куки в браузере клиента

eledev Jul 14 at 17:44

В кукях в браузере хранится ID сессии.

Apollon_krd Jul 14 at 17:48

В куках в браузере может храниться не только ID сессии, но и множество других параметров, вот например куки с яндекса

WithVery Jul 28 at 14:32

В общем и целом в качестве иллюстрации принципа действия. Но вообще сейчас, насколько я знаю, хорошим тоном считается прикладывать ссылку на проект, чтобы можно было реально поковыряться в коде.
P.S. Я понимаю, что сейчас модно не разбираться в сортах числительных, но хотя бы спелчекером перед публикацией надо было пробежаться. Раздел "Сравнение session и jwt" напоминает юмореску про раков ("те вчера по пять были очень большие, а сегодня по три, но маленькие").

Apollon_krd Jul 28 at 14:40

Всё исправлено, спасибо за внимательность.
По поводу проекта с репозиторием на гитхабе, я его приложу позже, когда сделаю статью по CSRF и CORS атакам