Веб-безпека · Middle · Запитання 43 з 75
Чому JWT важче відкликати, ніж серверні сесії?
- ✓Правильна відповідь: Їх перевіряють без звернення до бази, тож викрадений токен працює до кінця терміну, якщо не додати список відкликаних
- 2Бо JWT не можуть мати терміну дії
- 3Бо JWT зберігаються лише в історії браузера
Пояснення
Типові рішення - короткоживучі access-токени з refresh-токенами, версія токенів на користувача чи список відкликаних, що перевіряється на важливих діях.