Tokens hizi mbili zipo ili kutatua mgongano wa moja kwa moja: access token lazima itumwe kwa kila request (kwa hivyo inaonyeshwa sana), lakini pia unataka sessions ambazo hudumu kwa muda mrefu bila kulazimisha logins za mara kwa mara. Huwezi kuwa na zote mbili kwa usalama katika token moja — kwa hivyo unagawanya kazi.
Authorization kwa kila wito wa API. Kwa sababu hutumwa mfululizo, uvujaji unawezekana; kuiweka fupi kunamaanisha iliyoibwa inaisha karibu mara moja.Login ──▶ access (15m) + refresh (30d)
Kila wito wa API ──▶ tuma access
Access imeisha ──▶ tuma refresh ──▶ access mpya (+ refresh iliyozungushwa)
| Access token moja ya muda mrefu | Access + refresh | |
|---|---|---|
| Kuonyeshwa | Hutumwa kila request, huishi kwa muda mrefu → dirisha kubwa la wizi | Access ya muda mfupi; refresh hutumwa mara chache |
| Kufuta | Ngumu (JWT stateless haiwezi kutolewa-nyuma) | Futa refresh token; access hufa ndani ya dakika |
| UX | Login upya mara kwa mara ikiwa fupi | Hubaki umeingia bila kuingiza credentials tena |
| Ukubwa wa madhara ya uvujaji | Kubwa | Ndogo (access huisha haraka) |
httpOnly, mbali na ufikiaji wa XSS.Huu ndio muundo wa kisasa wa kawaida wa auth, na wahojiwa huuliza ili kuona kama unaelewa kwa nini, si tu jinsi gani. Ufahamu muhimu ni maelewano: statelessness na kuonyeshwa kwa muda mfupi (access) dhidi ya sessions ndefu na uwezo wa kufutwa (refresh). Kukosea — access token ya muda mrefu, hakuna rotation, refresh iliyohifadhiwa katika localStorage — hugeuza token moja iliyovuja kuwa uvamizi wa akaunti wa muda mrefu. Kutaja ugawanyaji na kile kila token inakupa ndicho ambacho engineer mwenye ufahamu wa usalama anatarajiwa kujua.
Maktaba ya maswali ya mahojiano ya IT yenye majibu ya kina — kutoka Junior hadi Senior.
Changia