Аутентификация. Сессии и JWT

[@Fs-xj2gu]

чувак не останавливайся, не важно с какой скоростью ты двигаешься

[@bbrother92]

Самый главные минусы jwt он не сказал, все что в видео есть обычно в статьях

[@СтасДзасохов]

Надеюсь вы будете продолжать снимать видео такой же тематики, теоретические, фундаментальные, вы очень понятно объясняете

[@bagga_lev]

Один из лучших каналов, все максимально понятно ! Большое спасибо 🙏

[@vestakashirets3760]

Спасибо за отличное изложение темы, четко и без лишней воды! Сразу все улеглось в голове в четкую схему 👍

[@TesliaAnna]

Пересмотрела кучу видео на эту тему. Только после этого стало понятно 👍

[@dinliri472]

Красава, молодец, все понятно. Умеешь. Могёшь)))

[@TheLevius]

14:00 - ошибка. Алгоритм шифрования для JWT-токена можно выбирать HMAC, RSA, RSA-PSS, ECDSA с хеш-функцией SHA-256/384/512. Base64 - не шифрование, а формат кодирования. Формат шифрования можно не указывать в заголовках токена

[@parmetra]

Тема, которую долго ждал. Спасибо большое! Надеюсь, вы дальше будете развивать, насколько это возможно, данную тематику.

[@quber3849]

Отличный материал👍 Спасибо!

[@СтасДзасохов]

ну и надеюсь этот плейлист будет продолжен

[@valentinkuzichev8726]

Подписался на первых минутах, зацепило!

[@fuuuns]

Очень качественное изложение. Не все преподаватели способны так детально и интересно подать материал. Вопрос, что лучше, сессии или токен возник еще на 10 минуте. И я был счастлив, что автор этот ГЛАВНЫЙ вопрос предусмотрел. Уважение ❤

[@ProgrammerFlunt]

Редко пишу комменты, но тут очень захотелось. Мега крутой видос, сразу же подписался. Спасибо за твой труд

[@Markeldo]

Отличное видео: всё по полочкам. Хоть стал понимать, что за JWT мне тут на новой работе подпихивают ))))) Спасибо. Лайк-подписка ;-)

[@fank1n]

Отличный видос, отличная тематика, жду с нетерпением следующее видео на эту тему

[@RamaRama-qv3jo]

Супер подача материала! Жаль так редко новые темы.

[@senior_zone]

Много работы сейчас. Стараюсь разгрузиться, чтобы почаще видео выпускать

[@Жиловшопе]

Лучшее объяснение про виды аутентификации из того, что я видел. Маленькая поправка - base64 это про кодирование, а не шифрование. То что закодировано с помощью base64 любой сможет раскодировать.

[@НикитаАфанасьев-ж3я]

отличный контент, очень недооценен по просмотрам и подпискам. продолжай, не останавливайся, я подписался, поставил лайк и так буду делать со всеми дальнейшими видео. удачи тебе

[@noname-qs3yg]

Огромное спасибо! Не пропадай 🙏

[@9hvostik]

Лучший! Спасибо большое! Это та самая суть, которую я хотела услышать! Пожалуйста, продолжай!

[@shittywizzard5727]

Отличный контент, хорош, давай еще!)

[@anna-vlk]

Разбор темы - просто огонь. Когда будет продолжение из анонса?

[@vova_dev]

Вопросы, которые у меня были, здесь прекрасно освещены! С примерами. Спасибо!

[@Dedmarkel]

Отличный контент, подписался. Но base64 - это способ кодирования, а не алгоритм шифрования. Внутри JWT токена действительно указывается алгорим шифрования, но сам JWT кодируется в base64.

[@dw_tv3992]

да по сути неважно - один хер спи3дил токен получил доступ

[@ДашаГензе]

очень жду продолжения :,,,,,(((

[@CrySevastopol]

ты лучший, очень понятно

[@maria_golubeva_nl]

Очень крутое и понятное видео 🤍🤍🤍

[@СтасДзасохов]

Спасибо, за очень понятное объяснение! А бывает такое, что есть секретные ключи под разные группы пользователей? Например, чтобы в случае чего поменяли секретный ключ и только какая-то одна группа пользователей слетела. Тогда например пользователей может быть 100 миллионов, а таких ключей например седятки или сотни

[@Delicatamente]

17:25 рекомендую в случае фейла авторизации запросов всё-таки использовать 403 код. 401 это для ошибки аутентификации.

[@VladimirS.-sk5kh]

Очень круто, но обещанного следующего видео нет на канале

[@Андрей-й9ц6я]

Отличная тема, жаль только за кадром остался вопрос безопасности, но наверное тогда бы ролик занял в два раза больше времени

[@parmetra]

Добрый день! Скажите, пожалуйста, будет ли продолжение данной серии уроков? Очень интересная тема с вашей подачей.

[@Delicatamente]

21:00 я бы еще добавил, что если произойдёт утечка секрета, тогда вся система авторизации станет разоблачена, т.е. любой пользователь сможет сам клепать себе токены и сервер никак не сможет на это повлиять (unless сервер вайпнет секрет и как следствие все токены выданные до станут невалидными). В случае с сессиями, если произошла утечка конкретной сессии, то угроза значительно меньше потому что это касается только одного конкретного пользователя + как ты и сказал, её можно удалить на сервере. Спасибо за видео, очень структурирована и полезно!

[@ozzzy9623]

Касаемо примера с угоном access токена и подстановку в куки вручную, это же невозможно при http only свойстве?

[@ЕвгенийЧаплинский-ъ9ш]

Очень хорошо обьясняешь.

[@andrewa2524]

Супер! Локанично, с примером, всё по делу. Когда следующее видео?

[@senior_zone]

Скоро) Работа и жизнь последние 2 месяца встали впереди канала, но теперь скоро

[@smoke2638]

ты супер красавчик! Жду новых видосов.

[@Alex-v6j9g]

жду продолжение

[@dmitrym840]

Спасибо большое

[@deanwichester6412]

Круто. Интересно было бы узнать, а как запрещать доступ к определенным страницам через токен .Пока только разобрался как запрещать доступ к определенным действиям, по типу получить через fetch запрос (записав в хедер токен) имена пользователей в формате json .

[@VeterSvobodi]

Автор, вернись. Пора!

[@maximvoicu4155]

когда ждать видео по OAuth и OIDC ? тема супер интересная, особенно если сделать пример через google

[@AleksandrChernovIT]

Годнота!)

[@mikhailprorekhin7434]

после "разлогирования" надо отзывать токен, обычно хранят в базе невалидных токенов.

[@hachiko489]

А ты хорош )

[@true227]

жаль нет обещанной второй части

[@deanwichester6412]

А где лучше хранить токен в куках или localstorage\sessionstorage?А можно хранить токен доступа в куках а токен обновления в localstorage\sessionstorage

[@mainkun1983]

А в чем проблема для каждого пользователя сделать отдельный private-key и инвалидировать его при logout’е

[@lanaseg_]

🔝🔝🔝

[@ruslan_nurgaleev]

По token-based не совсем согласен, есть же реализации jwt с механизмом черного списка, в которых нет проблем с инвалидацией токенов

[@404Negative]

если в бд миллион сессий, то достаточно её проиндексировать бинарным деревом и вуаля, проблема с сессиями решена ведь сложность бин поиска O(n) = log n. и добавлять сессии в такую бд тоже легко, потому что это бинарное дерево. остаётся только поворачивать дерево раз в час и никаких проблем с производительностью.

[@coryphoenixxx8238]

Нифига ты. Не пробовал устроиться в Reddit?

[@404Negative]

@@coryphoenixxx8238 что не так ?

[@vladimircreator]

А разве проблема именно в этом? Проблема ведь в памяти. Столько сессий хранить.

[@404Negative]

@@vladimircreator хранить миллиард сессий стоит копейки

[@vladimircreator]

@@404Negative я и не спорю. Просто речь не о производительности шла же

[@KostyaN698]

Авторизация по JWT не насколько уж и не безопасна. У JWT имеется payload, в котором находится JTI (уникальный идентификатор токена). Ничто не мешает хранить JTI в БД, после чего смотреть имеется ли данный JTI в БД.

[@9hvostik]

Если я правильно понимаю, то всё преимущество токена пропадает, так как нам снова нужно обращаться к базе данных для аутентификации

[@alex_davis17]

плиз next видео

[@whiteltd5970]

как делать авторизацию без пароля ? именно с подтверждением емейла по коду из почты - это сейчас самый надежный вариант, но каким образом это использовать пока пытаюсь узнать

[@eugenekoiner]

а если юзер пароль сменит, токен не инвалидируется?

[@404Negative]

и когда же новое видео ?? о_О

[@whiteltd5970]

жаль что реализация не на nest js

[@inquisitor4894]

Хмм, JWT не безопасен для перехвата, а сессий много. Середина: Использовать JWT, но который будет валиден только для определенного устройства. 10 устройств = 10 токенов. Отключили 1 устройство = удалили 1 токен. Прошел месяц и токеном не пользовались, то токен удаляем. Думаю такое уже есть.

[@ruslan_nurgaleev]

как ты удалишь токены, если они нигде кроме клиента не хранятся?

[@AleksandrNeo]

а почему только 720р?

[@senior_zone]

Факап во время записи