3

Tengo una react-app y almaceno el token jwt en localStorage. He estado investigando y algunos recomiendan usar sesiones. Mi duda es que riesgos corro.

Cualquiera podría usar el token y generar llamadas a mis Apis.

2
  • Hola Anderson, te damos la bienvenida a Stack Overflow en español (completa el recorrido de bienvenida para aprender más sobre nosotros). Esta es una pregunta bastante interesante, ¿cómo lo estás haciendo ahora? ¿Podrías poner referencias a dónde dicen de usar sesiones? Un saludo.
    – Alvaro Montoro
    el 21 mar. 2018 a las 16:10
  • Cuando logueo al usuario obtengo su token y lo guardo en LocalStorage y con ese comienzo a generar mis llamadas a api pero de mi punto de vista lo veo muy inseguro. Adjunto el articulo que lei. alexanderpaterson.com/posts/…
    – andersonqi
    el 21 mar. 2018 a las 16:26

1 respuesta 1

8

Cualquiera podría usar el token y generar llamadas a mis Apis

Cualquiera que tenga acceso al PC del cliente, a su sesión y a su navegador. Llegado a este punto es responsabilidad del usuario proteger su computadora y sus cuentas, no del desarrollador. Si permite al navegador que guarde su usuario y contraseña (es algo muy habitual), cualquiera que pueda leer el localStorage podría también simplemente entrar al navegador y abrir una nueva sesión.

En conclusión: no hay problema por usar el localStorage, siempre y cuando borres el token cuando el usuario decida cerrar la sesión (podrías usar sessionStorage, pero el concepto de sesión del navegador puede ser un poco restrictivo si quieres que el token dure horas o incluso días). Lo que sí te aconsejo es mandar el token como un header, no como cookie, para evitar ataques CSRF.

Puedes encontrar más información en esta respuesta de StackOverflow en inglés

4
  • Hola Pablo, Claro el token lo envió por header. Gracias por aclararme este punto.Saludos
    – andersonqi
    el 21 mar. 2018 a las 16:49
  • @Anderson creo que ha resolvido su questión. Podrías ponder la flag [resolvido] al título? el 3 abr. 2018 a las 17:44
  • @FrancisRodrigues dos cosas: es resuelto y no debe hacer eso, sino marcar la respuesta como aceptada el 3 abr. 2018 a las 17:55
  • Mmm entendi, gracias! el 3 abr. 2018 a las 18:22

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.