0

He hecho una API para mi aplicación con nodejs y estoy pensando que elementos de seguridad debería de añadir.

Actualmente he hecho una autenticación Json web token típica haseada, usando una estrategia propia con pasport.js, además a esta estrategia le añadí el una tabla de sesiones en la base de datos que obliga a hacer login de nuevo cuando el usuario lleva más de 2 horas de inactividad.

La verdad es que me estoy planteando eliminar la tabla de sesiones porque no se hasta que punto es necesaria.

No se si necesitaría añadir más componentes de seguridad a la autenticación de mi aplicación, busco cualquier información.

Gracias.

1
  • Bienvenido, por favor lee Cómo preguntar y de paso checa el recorrido de bienvenida, lastimosamente debo comentarte que las preguntas basadas en opiniones terminan cerradas
    – user128299
    el 1 dic. 2019 a las 18:32

1 respuesta 1

0

Tu intuición es correcta, no necesitas la tabla de sesiones si ya estás usando los JWT que incluyen un timestamp de expiración. Cierra la vigencia del token a 2 horas y ya está.

Las opciones más simples que yo consideraría para no dejar al usuario fuera, si sigue trabajando y está por expirar el token, son:

  • un middleware que extienda un nuevo token con una fecha posterior, para permitir al usuario seguir trabajando (ya sea a punto de expirar o con cada respuesta)

  • o un endpoint para renovar el endpoint específicamente, y que tu aplicativo envíe la petición para renovarlo (cerca de expirar o al recibir ciertas respuestas del backend por ejemplo)

Tal vez con un poco más de código concreto en que requieras ayuda te podemos facilitar una respuesta también más específica.

4
  • Gracias por el apoyo, pero por favor evitemos responder a preguntas basadas en opiniones, pues al estar fuera de los lineamientos es seguro termine cerrada
    – user128299
    el 2 dic. 2019 a las 1:44
  • Pues cierrenla conforme a sus criterios si les parece. Pero aunque no tiene montones de copy paste de código, la pregunta es concreta, y yo le di un par de opciones concretas como otras respuestas pueden serlo. Mi respuesta ni cabe ni es un comentario, pero como dije, ustedes pueden usar de su poder como les parezca, no hacen falta advertencias. el 2 dic. 2019 a las 1:54
  • 2
    Buenas Jesús. Las advertencias son importantes porque aunque se usen los "poderes" has de saber por qué y así evitarlo en un futuro. Si no entra en un comentario, no justifica ponerlo en una respuesta. Recuerda que no todas las preguntas deben ser respondidas. Un saludo
    – lois6b
    el 2 dic. 2019 a las 11:18
  • Meh. Supongo que no es de balde que Quora crece mientras stackexchange se despide de muchos moderadores y usuarios tambien el 4 dic. 2019 a las 0:44

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.