Блог

итак, я немного запутался в правильном способе передачи авторизации JWT, я знаю, что общий подход заключается в том, что вы можете использовать заголовок авторизации для его проверки, что-то вроде этого:

 const verifyToken = (req, res, next) => {
  const authHeader = req.headers.token;
  if (authHeader) {
    const token = authHeader.split(" ")[1];
    jwt.verify(token, process.env.JWT_KEY, (err, user) => {
      if (err) {
        res.status(403).json("Token is not valid!");
      }
      req.user = user;
      next();
    });
  } else {
    res.status(401).json("You're not authenticated");
  }
};
 

Однако, если я использовал cookie для хранения своего токена JWT после входа в систему, например:

 res.cookie("accessToken", accessToken, { httpOnly: true });
res.cookie("refreshToken", refreshToken, { httpOnly: true });
 

Означает ли это, что я могу игнорировать указанный выше authHeader и использовать непосредственно из файла cookie для проверки моего токена? Что-то вроде:

 const verifyToken = (req, res, next) => {
  //USING TOKEN FROM COOKIES
  const accessToken = req.cookies.accessToken;
  const refreshToken = req.cookies.refreshToken;
  if (accessToken amp;amp; refreshToken) {
    jwt.verify(accessToken, process.env.JWT_KEY, (err, user) => {
      if (err) {
        res.status(403).json("Token is not valid!");
      }
      req.user = user;
      next();
    });
  } else {
    res.status(401).json("You're not authenticated");
  }
};
 

Спасибо за любые разъяснения

Я думаю, что хранить токены в виде файлов cookie напрямую — плохая практика, поскольку любой, кто имеет доступ к компьютеру, может получить к ним доступ. Файлы cookie не защищены, когда они хранятся в браузере.

Простая установка HttpOnly также является плохой практикой, вы также должны установить атрибут Secure и SameSite для файлов cookie, чтобы сделать их более безопасными. Еще лучше зашифровать их, прежде чем хранить внутри файла cookie.

Лучшим подходом может быть рассмотрение шаблона BFF, как описано здесь