Bezpieczeństwo aplikacji webowych · Middle · Pytanie 43 z 75
Dlaczego JWT trudniej unieważnić niż sesje po stronie serwera?
- ✓Poprawna odpowiedź: Są weryfikowane bez zapytania do bazy, więc skradziony token działa do wygaśnięcia, chyba że dodasz listę zablokowanych
- 2Bo JWT nie mogą mieć daty ważności
- 3Bo JWT są przechowywane tylko w historii przeglądarki
Wyjaśnienie
Typowe rozwiązania to krótko żyjące access tokeny z refresh tokenami, wersja tokenów na użytkownika lub lista zablokowanych sprawdzana przy wrażliwych akcjach.