Sposoby uwierzytelniania użytkownika

Question

Witam, zacznę od tego że nawet nie wiem czy "uwierzytelnianie" to dobre słowo.

 

Chciałbym poznać popularne i sprawdzone sposoby na identyfikacje użytkowników i przechowywanie stanu o zalogowaniu, obecnie znam popularne sesje i tokeny JWT, ale czy są jeszcze inne i również sprawdzone?

z sesjami mam ten problem że wydają się mieć bardzo dużo problemów z bezpieczeństwem, natomiast tokeny JWT bardziej nadają się do aplikacji SPA i po przeczytaniu mnóstwa artykułów na ich temat wydają się równie mało bezpieczne, a raczej ich sposób przechowywania po stronie klienta jest dość problematyczny, szczególnie gdy aplikacja nie jest SPA.

Comments

Zaryzykuję stwierdzenie że kradzież jwt jest prostsza, niż kradzież ciastka z id sesji.

Answer 1

Wydaje mi się, że nie są to złe sposoby, bo są powszechnie używane i nie ma z nimi problemów. W sensie zawsze ktoś może wykraść ciasteczka/storage przeglądarki, ale to już wina klienta, że komuś dał komputer/zainstalował wirusa itp.

Serwer musi jakoś zidentyfikować użytkownika i jedyny sposób na to to kazać klientowi zapisać po swojej stronie jakiś identyfikator. Bezpieczniejsza opcją byłoby, aby serwer nie tylko sprawdzał identyfikator, ale także system, user agenta, ip itd, ale rodzi to problemy z czasami niepotrzebnym autowylogowywaniem, gdy np. mamy zmienne ip.