Но в результате ваши JWT выродились в "обычные" токены, разве нет? Если вы каждый раз лезете в базу, чтобы проверить, не отозван ли токен, то и JWT вам не нужен! Можно случайные токены генерировать, класть в базу и потом тянуть проверять вместе с какими-то контекстом.
И вообще, зачем аннулировать токен при логауте, если он к сесси привязан и нигде больше храниться не должен - уничтожайте его у пользователя. Минусы тоже, несомненно есть но тут нужно токены короткоживущими с автопродлением делать.
Опять же, если вы разделили ресурсы по способу проверки токенов, то почему было бы не разделить сразу и токены? Критически важные "длинные" проверять из базы, плюс, получаемые на основе них коротко живущие JWT для всего остального. С точки зрения архитектуры оно как-то даже лучше получается. А тут у вас токены, которые в двух разных ролях выступают и по разному проверяются, что может пойти не так?
Ну, или храните прямо в своём JWT ещё один токен, который проверяется по базе. Тогда короткоживущий JWT даёт предварительную быструю проверку, а старый добрый секурный токен обеспечивает безопасность и возможность отзыва. Так оно как-то архитектурно лучше получится. Будет какое-то разделение функционала, ответственности и появится дополнительная гибкость.
Короче, есть такое мнение, что как только вы начинаете по базе проверять JWT, то вы уже совершенно точно что-то делаете не так.
Которую он совершенно эпично просрал, преложив банкам подключаться на совершенно кабальных условиях и введя стоимость выше, чем у международных систем.
Они все такие мутные, что раньше их можно было оплачивать рублями. Причём деньги шли какому-то совершенно левому российскому ИПшнику за совершенно левую услугу, после чего волшебным образом оказывались в личном кабинете у хостера по очень неплохому курсу обмена. Не помню у кого, у 1 или 2, такая дичь была. Но они оба принимали рубли.
Какая хорошая и совершенно беспалевная статья! Никакой рефералки и никакой предвзятости! (виноват - это некропост)
Вот только странно: "Хостер1", это же Pq.Host, который разделился на два хостинга - зарубежный и российский. Так же было? А вы ссылку на pq.host даёте. Разве такой хостер ещё существует? Странно... А вообще, отличный хостинг. Был... При разделении один мой сервер они просто потеряли: сервер работает, но его не видно в личном кабинете. А два сервера вырубили без предупреждения, так как их выгнали из Риги и ещё откуда-то. И они тупо рубанули сервера. Без вариантов вытащить данные, само-собой. При этом, само-собой, деньги за эти сервера продолжали брать. Приключений я в результате словил массу! Благо, что бэкапы были. И что-то даже мне помнится, что при их реформировании у меня ещё и разные аккаунты (личный и рабочий) разъехались к разным хостерам, но это не точно - мне сильно лень сейчас это всё вспоминать и смотреть. Следует отметить, что потушенные сервера можно было бесплатно пересоздать в других локациях. Правда именно пересоздать - с потерей всех данных.
А Aeza ваша (хостер 2), это вообще молодцы из молодцов! Ну, ладно, что мутные максимально. Но они умудрились попасть под санкции (это ещё суметь нужно!), после чего просто разом потушили всё и молча ушли в закат без всяких объявлений. Просто закрылись и всё! Хостер года просто! Вот тут я встрял по полной, так как бэкапы были недостаточно свежие, и на их сервера у меня были другие сервисы завязаны! Справедливости ради, через какое-то число месяцев они снова ожили, и я даже в личном кабинете вижу там свои сервера. Вот только использовать их как-то немного очень сильно страшно.
UPD. Извиняюсь всеместно! Это же оживший некропост. Но комментарий оставлю - вдруг, кому-то будут интересны мои похождения по этим хостерам. ;)
Где "там" и откуда он должен взяться? Когда вы с телефона говорите, то обычно никакого серьёзного фонового трафика нет. Если включен VPN и начать что-то качать на фоне одновременно с разговором, то да, у них ломается вся эвристика и проблемы с голосовым потоком пропадают.
Можно обнаружить VPN, прийти и посадить того, кто настраивал его использование. Если непонятно, кто настраивал, то посадить пользователя - значит сам настраивал. В принципе, это уже прямо сейчас с текущими законами можно делать.
Вообще говоря, сейчас под администрирование VPN, попадет любой, кто настроил VPN или настроил использование V{N, которым пользуется кто-либо кроме него самого. Более того, даже если настроил только для себя, то всё равно попадаешь, так как важно не количество пользователей, а сама возможность массового использования. Всё это через цепочку крайне мутных законов и нормативных актов, но нигде в них нет никаких исключений для частного использования. Просто сейчас это действительно не применяют на практике. Но это ровно до той поры, пока не возникнет такая необходимость.
По статистике. Там очень характерный набор размеров пакетов и интервалов. И они не блокируют поток, когда видят голос, а задерживают некоторые пакеты на длительное время. Для "обычного" трафика, будет просто небольшая, почти незаметная, задержка в открытие сайта, а голосом общаться становится практически невозможно.
А на самом деле вам должно было понравится сочетание "показывать поверх всех окон" + "показывать системные уведомления", Это сочетание позволяет использовать грязный хак и получать новые права без одобрения пользователя. Google очень сильно не любит давать такие сочетания разрешений. Кроме того "изменение сетевых настроек", например, позволяет ставить свои прокси и контролировать весь трафик пользователя.
Некоторые сотовые операторы сейчас блокируют трафик по временным сигнатурам VoIP. Причём есть подозрение, что это действия не РКН, а именно сотовых операторов. В результате голосовая связь через мессенджеры не работает даже под VPN. А если параллельно в этом же VPN пустить какой-то фоновый трафик, то голос волшебным образом начинает работать. Лично вчера проверял.
Интересные времена. Никто ни чего не блокирует - "это оно само".
Вы же обратили внимание, что тут изначальные "три чуда" просто заменили другими тремя не менее чудесными чудесами? Причём на самом деле чудес стало даже больше. Как минимум: - существуют некие "тяжёлые" электроны; - которые почему-то супер-эффективно поглащают гамма-излучение; - баланс энергии не сходится, так как магия магическая;
А если посмотреть внимательнее на всю историю, то видно, что это классическое псевдонаучное шарлатанство - придумываем невероятную и невозможную супер-теорию, состоящую из каки-то лоскутов и с кучей новых сущностей, и начинаем грести бабки. По мере того, как в нашей теории находят дыры, затыкаем их кривыми костылями и выливаем помои на критиков, требуя доказательств. Так как, наши критики тратят много времени на каждое доказательство несостоятельности нашей теории, а мы каждый раз на кардинально меняем теорию, то им снова приходится искать и доказывать дыры. А мы всегда впереди, на коне и гребём бабки. А если у нас всё же просят предоставить какую-то законченную непротиворечивую теорию (ну, вот совсем к стенке прижали), то обзываем всех ретроградами и пессимистами, кричим о том, что они противятся прогрессу и не верят грядущий успех, что теория просто немного сырая и со временем всё будет хорошо, после чего обиженно уходим. К другим менее дотошным, но более внушаемым инвесторам. Классика шарлатанства же!
Смысл в том, чтобы получать бабло от госдуарства мешками за просто так. Они даже изначально название менять не хотели должны быть национальный мессенджер "VK". Но это был уже настолько явный попил и подстава, что даже в РФ не прокатило, и где-то уже в середине принятия законов пришлось срочно менять название на "MAX". И разработчиков тоже хотели выделить, но как же грести деньги? Поэтому VK разрабатывает "национальный мессенджер", который при этом является ещё и их собственным "VK-мессенджером" за госсчёт, получая невероятную кучу госфинансирования и халявный доступ к совершенно всем данным. Максимальный профит, полная халява, горы денег и никакой ответственности. Короче, название менять не хотели, но пришлось, так как от такой наглости Яндекс собрался в суд идти, а это могло затормозить получение гор бабла, что недопустимо.
Забавно, что у вас нет обязанности показывать паспорт налоговой для подтверждения статуса резидента. Для подтверждения потери статуса - да, должны показать. На самом деле на данный момент потерять статус резидента вы можете только добровольно сообщив об этом налоговой. Все эти попытки работодателей насильно присвоить статус нерезидента сотрудникам совершенно незаконны. Выгоднее быть резидентом только в случае продажи дорого имущества с неистёкшим минимальным сроком владения. Но и там всё от цены покупки/продажи зависит. И нужно помнить, что статус налогового резидента может вызвать серьёзные проблемы с валютным законодательством/резидентством. Можно сэкономить на налоге с продажи, но появляется риск привлечь внимание и встрять на неуведомлении о счетах и штрафах в 100% от суммы за незаконные валютные операции.
Ну, если вы постоянно проживаете вне РФ, то от большей части этой дичи вы освобождены. Кроме того есть договора в некоторыми странами (например с Германией), по которым вы освобождаетесь от дичи сразу же после получения ВНЖ в этой стране. Налоговая иногда на это плевать хотела, но если дойдёт до суда, то всё работает.
Если истёк минимальный срок владения (3 или 5 лет) или стоимость не выше стоимости покупки (если упрощённо), то налог вы не платите вне зависимости от налогового статуса. Если минимальный срок владения не истёк, то вы попадаете на налог, который для нерезидентов сильно выше. Но если вы в год продажи провели более 6 месяцев в РФ, то у вас статус резидента и никаких повышенных ставок не будет.. Правда в этом случае могут взять за жопу за иностранные счета (А куда вы деньги от квартиры вывели? Хороший такой вопрос.).
А ещё сейчас не то, что дроны, а тупо таксисты используют GPRS и аналоговые (!!!) модемы по 2G. Да триангуляция на базе сотовой сети относительно легко решается. Там не нужно делать "классическую" триангуляцию. Там достаточно стабильные частоты БС и отлично работает анализ сдвига фаз. Причём на движущемся объекте это даже проще, так как можно доплеровский эффект измерять и определять сразу и координаты, и скорость, и вектор движения. Для этого даже готовые решения какие-то были. Давали точность метров 10 в реальных условиях. Так что баловство это всё - только всю сотовую связь тушить. Но в этом случае перейдут на излучатели навигационных систем авиации. А если их выключать, то есть же ещё цифровое телевидение, которое тоже одно удовольствие триангулировать. А если и его тушить, то остаются обычные радиостанции. Там точность уже похуже - метров 50..100, но зато дальность огромная. И ещё очень точно (до единиц метров!) координаты можно по излучению WiFi точек вычислять. И это совершенно любой смартфон умеет, а если специальную железку сделать, да карту построить, то такого наворотить можно... Короче, я предлагаю тупо выключать электроэнергию.
Но в результате ваши JWT выродились в "обычные" токены, разве нет? Если вы каждый раз лезете в базу, чтобы проверить, не отозван ли токен, то и JWT вам не нужен! Можно случайные токены генерировать, класть в базу и потом тянуть проверять вместе с какими-то контекстом.
И вообще, зачем аннулировать токен при логауте, если он к сесси привязан и нигде больше храниться не должен - уничтожайте его у пользователя. Минусы тоже, несомненно есть но тут нужно токены короткоживущими с автопродлением делать.
Опять же, если вы разделили ресурсы по способу проверки токенов, то почему было бы не разделить сразу и токены? Критически важные "длинные" проверять из базы, плюс, получаемые на основе них коротко живущие JWT для всего остального. С точки зрения архитектуры оно как-то даже лучше получается. А тут у вас токены, которые в двух разных ролях выступают и по разному проверяются, что может пойти не так?
Ну, или храните прямо в своём JWT ещё один токен, который проверяется по базе. Тогда короткоживущий JWT даёт предварительную быструю проверку, а старый добрый секурный токен обеспечивает безопасность и возможность отзыва. Так оно как-то архитектурно лучше получится. Будет какое-то разделение функционала, ответственности и появится дополнительная гибкость.
Короче, есть такое мнение, что как только вы начинаете по базе проверять JWT, то вы уже совершенно точно что-то делаете не так.
Некоторые сервера продолжили работать, так что вполне возможно.
Которую он совершенно эпично просрал, преложив банкам подключаться на совершенно кабальных условиях и введя стоимость выше, чем у международных систем.
Они все такие мутные, что раньше их можно было оплачивать рублями. Причём деньги шли какому-то совершенно левому российскому ИПшнику за совершенно левую услугу, после чего волшебным образом оказывались в личном кабинете у хостера по очень неплохому курсу обмена. Не помню у кого, у 1 или 2, такая дичь была. Но они оба принимали рубли.
Какая хорошая и совершенно беспалевная статья! Никакой рефералки и никакой предвзятости!(виноват - это некропост)Вот только странно: "Хостер1", это же Pq.Host, который разделился на два хостинга - зарубежный и российский. Так же было? А вы ссылку на pq.host даёте. Разве такой хостер ещё существует? Странно...
А вообще, отличный хостинг. Был... При разделении один мой сервер они просто потеряли: сервер работает, но его не видно в личном кабинете. А два сервера вырубили без предупреждения, так как их выгнали из Риги и ещё откуда-то. И они тупо рубанули сервера. Без вариантов вытащить данные, само-собой. При этом, само-собой, деньги за эти сервера продолжали брать. Приключений я в результате словил массу! Благо, что бэкапы были.
И что-то даже мне помнится, что при их реформировании у меня ещё и разные аккаунты (личный и рабочий) разъехались к разным хостерам, но это не точно - мне сильно лень сейчас это всё вспоминать и смотреть. Следует отметить, что потушенные сервера можно было бесплатно пересоздать в других локациях. Правда именно пересоздать - с потерей всех данных.
А Aeza ваша (хостер 2), это вообще молодцы из молодцов! Ну, ладно, что мутные максимально. Но они умудрились попасть под санкции (это ещё суметь нужно!), после чего просто разом потушили всё и молча ушли в закат без всяких объявлений. Просто закрылись и всё! Хостер года просто! Вот тут я встрял по полной, так как бэкапы были недостаточно свежие, и на их сервера у меня были другие сервисы завязаны!
Справедливости ради, через какое-то число месяцев они снова ожили, и я даже в личном кабинете вижу там свои сервера. Вот только использовать их как-то немного очень сильно страшно.
UPD. Извиняюсь всеместно! Это же оживший некропост. Но комментарий оставлю - вдруг, кому-то будут интересны мои похождения по этим хостерам. ;)
Сбер сказал, что ВТБ и Т-Банка уже готовы подключиться к его решению.
Где "там" и откуда он должен взяться? Когда вы с телефона говорите, то обычно никакого серьёзного фонового трафика нет. Если включен VPN и начать что-то качать на фоне одновременно с разговором, то да, у них ломается вся эвристика и проблемы с голосовым потоком пропадают.
Имейте в виду, что сейчас налоговая не знает, что вы не являетесь налоговым резидентом, если только вы сами ей не скажете.
Можно обнаружить VPN, прийти и посадить того, кто настраивал его использование. Если непонятно, кто настраивал, то посадить пользователя - значит сам настраивал. В принципе, это уже прямо сейчас с текущими законами можно делать.
Вообще говоря, сейчас под администрирование VPN, попадет любой, кто настроил VPN или настроил использование V{N, которым пользуется кто-либо кроме него самого. Более того, даже если настроил только для себя, то всё равно попадаешь, так как важно не количество пользователей, а сама возможность массового использования.
Всё это через цепочку крайне мутных законов и нормативных актов, но нигде в них нет никаких исключений для частного использования.
Просто сейчас это действительно не применяют на практике. Но это ровно до той поры, пока не возникнет такая необходимость.
По статистике. Там очень характерный набор размеров пакетов и интервалов. И они не блокируют поток, когда видят голос, а задерживают некоторые пакеты на длительное время. Для "обычного" трафика, будет просто небольшая, почти незаметная, задержка в открытие сайта, а голосом общаться становится практически невозможно.
А на самом деле вам должно было понравится сочетание "показывать поверх всех окон" + "показывать системные уведомления", Это сочетание позволяет использовать грязный хак и получать новые права без одобрения пользователя. Google очень сильно не любит давать такие сочетания разрешений.
Кроме того "изменение сетевых настроек", например, позволяет ставить свои прокси и контролировать весь трафик пользователя.
Некоторые сотовые операторы сейчас блокируют трафик по временным сигнатурам VoIP. Причём есть подозрение, что это действия не РКН, а именно сотовых операторов. В результате голосовая связь через мессенджеры не работает даже под VPN. А если параллельно в этом же VPN пустить какой-то фоновый трафик, то голос волшебным образом начинает работать. Лично вчера проверял.
Интересные времена. Никто ни чего не блокирует - "это оно само".
Есть договор с Германией, по которому россияне получают налоговое резидентство Германии сразу после получения ВНЖ и регистрации. Регулируется соглашением об избежании двойного налогообложения.
https://www.consultant.ru/document/cons_doc_LAW_13006/ac96f8ee5830ed9f1da3efa7ee8769ffc673f890/
Вы же обратили внимание, что тут изначальные "три чуда" просто заменили другими тремя не менее чудесными чудесами? Причём на самом деле чудес стало даже больше.
Как минимум:
- существуют некие "тяжёлые" электроны;
- которые почему-то супер-эффективно поглащают гамма-излучение;
- баланс энергии не сходится, так как магия магическая;
А если посмотреть внимательнее на всю историю, то видно, что это классическое псевдонаучное шарлатанство - придумываем невероятную и невозможную супер-теорию, состоящую из каки-то лоскутов и с кучей новых сущностей, и начинаем грести бабки. По мере того, как в нашей теории находят дыры, затыкаем их кривыми костылями и выливаем помои на критиков, требуя доказательств. Так как, наши критики тратят много времени на каждое доказательство несостоятельности нашей теории, а мы каждый раз на кардинально меняем теорию, то им снова приходится искать и доказывать дыры. А мы всегда впереди, на коне и гребём бабки.
А если у нас всё же просят предоставить какую-то законченную непротиворечивую теорию (ну, вот совсем к стенке прижали), то обзываем всех ретроградами и пессимистами, кричим о том, что они противятся прогрессу и не верят грядущий успех, что теория просто немного сырая и со временем всё будет хорошо, после чего обиженно уходим. К другим менее дотошным, но более внушаемым инвесторам.
Классика шарлатанства же!
Смысл в том, чтобы получать бабло от госдуарства мешками за просто так. Они даже изначально название менять не хотели должны быть национальный мессенджер "VK". Но это был уже настолько явный попил и подстава, что даже в РФ не прокатило, и где-то уже в середине принятия законов пришлось срочно менять название на "MAX".
И разработчиков тоже хотели выделить, но как же грести деньги? Поэтому VK разрабатывает "национальный мессенджер", который при этом является ещё и их собственным "VK-мессенджером" за госсчёт, получая невероятную кучу госфинансирования и халявный доступ к совершенно всем данным. Максимальный профит, полная халява, горы денег и никакой ответственности.
Короче, название менять не хотели, но пришлось, так как от такой наглости Яндекс собрался в суд идти, а это могло затормозить получение гор бабла, что недопустимо.
Забавно, что у вас нет обязанности показывать паспорт налоговой для подтверждения статуса резидента. Для подтверждения потери статуса - да, должны показать.
На самом деле на данный момент потерять статус резидента вы можете только добровольно сообщив об этом налоговой. Все эти попытки работодателей насильно присвоить статус нерезидента сотрудникам совершенно незаконны.
Выгоднее быть резидентом только в случае продажи дорого имущества с неистёкшим минимальным сроком владения. Но и там всё от цены покупки/продажи зависит. И нужно помнить, что статус налогового резидента может вызвать серьёзные проблемы с валютным законодательством/резидентством. Можно сэкономить на налоге с продажи, но появляется риск привлечь внимание и встрять на неуведомлении о счетах и штрафах в 100% от суммы за незаконные валютные операции.
Ну, если вы постоянно проживаете вне РФ, то от большей части этой дичи вы освобождены. Кроме того есть договора в некоторыми странами (например с Германией), по которым вы освобождаетесь от дичи сразу же после получения ВНЖ в этой стране. Налоговая иногда на это плевать хотела, но если дойдёт до суда, то всё работает.
Если истёк минимальный срок владения (3 или 5 лет) или стоимость не выше стоимости покупки (если упрощённо), то налог вы не платите вне зависимости от налогового статуса.
Если минимальный срок владения не истёк, то вы попадаете на налог, который для нерезидентов сильно выше.
Но если вы в год продажи провели более 6 месяцев в РФ, то у вас статус резидента и никаких повышенных ставок не будет.. Правда в этом случае могут взять за жопу за иностранные счета (А куда вы деньги от квартиры вывели? Хороший такой вопрос.).
Зато разлёт осколков в сотню метров или больше.
А ещё сейчас не то, что дроны, а тупо таксисты используют GPRS и аналоговые (!!!) модемы по 2G.
Да триангуляция на базе сотовой сети относительно легко решается. Там не нужно делать "классическую" триангуляцию. Там достаточно стабильные частоты БС и отлично работает анализ сдвига фаз. Причём на движущемся объекте это даже проще, так как можно доплеровский эффект измерять и определять сразу и координаты, и скорость, и вектор движения. Для этого даже готовые решения какие-то были. Давали точность метров 10 в реальных условиях.
Так что баловство это всё - только всю сотовую связь тушить.
Но в этом случае перейдут на излучатели навигационных систем авиации. А если их выключать, то есть же ещё цифровое телевидение, которое тоже одно удовольствие триангулировать. А если и его тушить, то остаются обычные радиостанции. Там точность уже похуже - метров 50..100, но зато дальность огромная.
И ещё очень точно (до единиц метров!) координаты можно по излучению WiFi точек вычислять. И это совершенно любой смартфон умеет, а если специальную железку сделать, да карту построить, то такого наворотить можно...
Короче, я предлагаю тупо выключать электроэнергию.