Tengo una react-app y almaceno el token jwt en localStorage. He estado investigando y algunos recomiendan usar sesiones. Mi duda es que riesgos corro.
Cualquiera podría usar el token y generar llamadas a mis Apis.
Stack Overflow en español es un sitio de preguntas y respuestas para programadores y profesionales de la informática. Solo te toma un minuto registrarte.
Regístrate para unirte a esta comunidadTengo una react-app y almaceno el token jwt en localStorage. He estado investigando y algunos recomiendan usar sesiones. Mi duda es que riesgos corro.
Cualquiera podría usar el token y generar llamadas a mis Apis.
Cualquiera podría usar el token y generar llamadas a mis Apis
Cualquiera que tenga acceso al PC del cliente, a su sesión y a su navegador. Llegado a este punto es responsabilidad del usuario proteger su computadora y sus cuentas, no del desarrollador. Si permite al navegador que guarde su usuario y contraseña (es algo muy habitual), cualquiera que pueda leer el localStorage podría también simplemente entrar al navegador y abrir una nueva sesión.
En conclusión: no hay problema por usar el localStorage, siempre y cuando borres el token cuando el usuario decida cerrar la sesión (podrías usar sessionStorage
, pero el concepto de sesión del navegador puede ser un poco restrictivo si quieres que el token dure horas o incluso días).
Lo que sí te aconsejo es mandar el token como un header, no como cookie, para evitar ataques CSRF.
Puedes encontrar más información en esta respuesta de StackOverflow en inglés
[resolvido]
al título?
el 3 abr. 2018 a las 17:44