Analiza decyzji · Middle · Pytanie 10 z 14
Aplikacja webowa rozmawia z własnym API w tej samej domenie. Wsparcie musi móc natychmiast zakończyć skradzioną sesję. Jak obsłużyć sesje?
- 1Bezstanowe JWT z czasem życia 15 minut
- 2Sesje serwerowe z cookie
HttpOnly - 3Długo żyjące JWT w
localStorage
Pokaż odpowiedź
Poprawna odpowiedź: Sesje serwerowe z cookie HttpOnly
Wyjaśnienie
Przy sesjach na serwerze usunięcie rekordu od razu kończy dostęp, a cookie HttpOnly jest poza zasięgiem skryptów. JWT w localStorage nie pasują tu do niczego: błąd XSS je odczyta, a nie da się ich unieważnić. Krótko żyjące JWT pasują do wielu niezależnych usług weryfikujących tokeny samodzielnie, ale skradziony token działa do wygaśnięcia, chyba że dodasz listę unieważnień.