System Design · Middle · Pytanie 12 z 75
Jaka jest główna wada bezstanowych JWT w porównaniu z sesjami serwerowymi?
- ✓Poprawna odpowiedź: Wydanego tokena trudno odwołać przed upływem jego ważności
- 2JWT nie można przesyłać w nagłówkach HTTP
- 3JWT nie obsługuje przechowywania identyfikatora użytkownika
Wyjaśnienie
Serwer sprawdza podpis bez odwoływania się do bazy - to wygodne przy skalowaniu. Ale przy zablokowaniu użytkownika lub kradzieży tokena nadal on działa. Rozwiązania: krótko żyjące access tokeny, refresh tokeny z rotacją, lista odwołanych tokenów (co częściowo przywraca stan).