Розбір рішень · Middle · Запитання 10 з 14
Вебзастосунок спілкується з власним API на тому ж домені. Підтримка має могти миттєво завершити викрадену сесію. Як працювати із сесіями?
- 1Безстанні JWT із терміном 15 хвилин
- 2Серверні сесії з cookie
HttpOnly - 3Довгоживучі JWT у
localStorage
Показати відповідь
Правильна відповідь: Серверні сесії з cookie HttpOnly
Пояснення
Із сесіями на сервері видалення запису одразу закриває доступ, а cookie HttpOnly недосяжна для скриптів. JWT у localStorage тут майже нічому не підходять: баг XSS прочитає їх, а відкликати їх не можна. Короткоживучі JWT підходять багатьом незалежним сервісам, що самі перевіряють токени, але викрадений токен діє до кінця терміну, якщо не додати список відкликання.