3

En el desarrollo de una API estamos implementando el sistema de autenticación de usuarios Json Web Token y todo nos funciona bien.

La duda es qué hacer y cómo, cuando a un usuario activo (inició sesión y sigue navegando) le caduca el token. ¿Sería el frontend el encargado de gestionar esto enviando, en su caso, un nuevo inicio de sesión?

Por otro lado, he leido algo sobre el REFRESH TOKEN pero no encuentro documentación bien explicada sobre ello para saber si es esto lo que debo implementar.

Gracias.

2
  • Tendrás que implementar el refresco del token. solidgeargroup.com/…
    – F.bernal
    Commented el 1 feb. 2018 a las 9:28
  • Si es tu mismo backend el que genera el token, lo envía al usuario y éste lo usa para ejecutar las siguientes llamadas (almacenándolo por ejemplo en una cookie) entonces si el token expira genérale un nuevo token, fija la cookie pisando la anterior y en ese request dejas pasar la petición como si el token no hubiese expirado. Esto lo manejas como un caso de borde que sólo aplica si el token expiró hace pocos minutos, cosa de no aceptar tokens que expiraron hace varias horas.
    – ffflabs
    Commented el 1 feb. 2018 a las 13:18

3 respuestas 3

2

Básicamente tendrías dos endpoints El primero recibe user y password. En caso exitoso devuelve un JWT

El segundo recibe un token, comprueba si es válido y:

  • Si el token expira en más de X minutos, considera que no es necesario renovarlo. Devuelve el mismo token.
  • Si el token expiró hace menos de X minutos, genera un nuevo token y lo devuelve igual que en el procedimiento de login
  • Si el token no es válido o expiró hace más tiempo que el umbral de tolerancia, devuelves un header 401, que tu front debe interpretar como: "redirigir al login".

En el front reemplazas tu token donde sea que lo tengas almacenado: localstorage, sessionstorage, cookies, etc.

En el front puedes pegarle al endpoint de refresh luego o antes de acciones que implican interacción con el api.

Incluso puedes recurrir a un timeInterval, aunque ésta sería la salida menos elegante.

Nota adicional: si teniendo un token almacenado en tu frontend vas a la pantalla de login, también debieras pegarle al endpoint de refresh. Si éste no devuelve un 401, lo dejas pasar con la sesión autenticada.

Si el backend devuelve un 401, sin importar desde donde se llame, primero eliminas cualquier token almacenado en el front y lo rediriges al login. Esto significa que si manualmente insertas un token vencido en tu browser, vas a entrar al login, el backend te va a rechazar, tú entonces borras el token y lo rediriges al login.

Puede parecer redundante que desde el login te redirija al login, pero te evitará generar una lógica especial para manejar el 401 sólo aplicable a la pantalla de login.

1

El control de caducidad el token lo puedes gestionar tu desde el servidor, no se como lo tendréis montado, te comento mi caso.

El token puede ser cualquier cosa, como un objeto json que se encripta con una clave, este token puede tener cualquier propiedad, como por ejemplo una fecha de caducidad, de esta manera solo tendrías que implementar un middleware en tu servidor para cada petición que desencriptara el token y comprobara si la fecha actual es anterior a la de dicha propiedad del token.

Es codigo javascript, pero la esencia es la misma

//Creamos y exportamos eltoken
exports.createToken = function (user){
  //Datos que se van a codificar
  var payload = {
    //Guardamos el id del registro( en este caso el id de usuario)
    sub: user._id,
    nombre_usuario: user.nombre_usuario,
    email:user.email,
    id_usuario:user.id_usuario,
    //Fecha de creacion del token
    iat:moment().unix(),//Guardamos la fecha en formato unix
    //Fecha de expiracion del token
    exp:moment().add(30,'days').unix//Damos 30 dias de duracion del token en formato unix para poder compara posteriormente
  };

  return jwt.encode(payload, secret);

};

En la creacion del token añadimos el parametro de expiración.

Y el middleware que controla cada petición.

exports.ensureAuth = function(req,res, next){

      //Comprobamos que tengamos cabecera de autenticacion
      if(!req.headers.authorization){
        return res.status(403).send({message:'Sin cabecera de autenticacion'});
      }

      //Limpiamos las comillas dobles y simples si vienen
      var token = req.headers.authorization.replace(/['"]+/g,'');
      try{
        //Decodificamos el token con la informacion del usuario
        var payload=jwt.decode(token,secret);
        //Si la fecha de expiracion es anterior a la actual, el token ha expirado
        if(payload.exp <= moment().unix()){
          return res.status(401).send({message:'Token expirado'});
        }
      }catch(ex){
        console.log(ex);
        return res.status(404).send({message:'Token no valido'});
      }

      //Agregamos a la request un objeto user con la informacion del token decodifciado
      req.user = payload;

      //Metodo para contnuar la  ejecucion del programa
      next();

    }

Al ser un middleware, podrías interceptar el código HTTP que te llega y redirigir al login de nuevo en caso de ser un 401.

4
  • Lo que quieres es refrescar el token automaticamente, con lo que debe implementar un mecanismo de token refresh.
    – F.bernal
    Commented el 1 feb. 2018 a las 10:02
  • Yo no veo que la pregunta sea ¿Como refresco el token de usuario automaticamente? estoy dando otro enfoque sobre sus preguntas.
    – Hictus
    Commented el 1 feb. 2018 a las 10:08
  • Pues lo pone bastante claro, ¿Cuándo y cómo se actualiza el token para que no le caduque al usuario si está activo?
    – F.bernal
    Commented el 1 feb. 2018 a las 10:15
  • Esto está claro y lo tengo ya implementado y funcionando. Al generar el token le asigno una fecha de caducidad y luego en cada petición se valida el token. Ahora bien, cuando llega una petición con el token al cabo de 1 minuto después de caducar el token ya simplemnte dice token caducado. Si el usuario no ha dejado de navegar, el token debería actualizarse (como si lo controlaramos con variables de sesión y cookies no??
    – Lautrec
    Commented el 1 feb. 2018 a las 10:21
1

El refreshToken tiene un periodo más largo de caducidad por ejemplo 10 dia o puede ser más. El accessToken tiene menos periodo de caducidad puede ser 1 minuto. En este código se renueva automáticamente el accesToken una vez haya expirado, y si el refreshToken ya ha caducado tendrá que loguearse de nuevo.

const jwt = require("jsonwebtoken");
const { request, response } = require("express");
const { generarJWT } = require("../helpers/generarjwt");

const validarJWT = async (req = request, res = response, next) => {
  //Extraer los tokens de los headers
  const token = req.header("x-token-access");
  const refreshToken = req.header("x-refresh-token");
  
  //Si falta algún token en el header
  if (!token || !refreshToken) {
    return res.status(401).json({
      msg: "No hay un token en la petición",
    });
  }
  
  //Copia del token y del uid
  const tokenCopia = token;
  let copiaUid;
  
  let expirado = false;
  let error = false;
  try {
    //Si el token es valido, extraigo el uid del usuario
    const { uid } = jwt.verify(
      token,
      process.env.SECRETPRIVATEKEY,
      async (err) => {
        //Si el token ha expirado
        if (err.message === "jwt expired") {
          expirado = true;
          
          //verifico si el refreshToken es válido
          jwt.verify(refreshToken, process.env.SECRETPRIVATEKEY);
          
          //Si es valido yo quiero extraer el uid que está en el payload      
           // del token
          const { uid } = jwt.decode(tokenCopia);
          copiaUid = uid;
          //Se genera un nuevo token valido, y en el payload ingreso su uid
          const tokenNuevo = await generarJWT(uid);
          
          //En el header que es donde almaceno el token de acceso, se                   
          //agrega el nuevo token
           res.setHeader("x-token-access", tokenNuevo);
        } else {
          //Si hubo un error diferente al verificar el token
          error = true;
        }
      }
    );
    
    if (error) {
      res.status(500).json({
        msg: "Hubo un error",
      });
    }

    let usuario;
  //Busco el usuario que se ha querido autenticar con el token:
    if (expirado) {
      usuario = await Usuario.findById(copiaUid);
    } else {
      usuario = await Usuario.findById(uid);
    }
    
    if(!usuario){
      res.status(500).json({
        msg: "Usuario no encontrado",
      });
    }
    
  //Siguiente middleware
    next();
    
  } catch (error) {
    return res.status(401).json({
      msg: "Token no válido",
    });
  }
};

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.