Estoy desarrollando una API RESTful y quisiera implementar la autenticación por JWT (JSON Web Token).
Al acceder desde un navegador web se crearía un token y se guardaría por ejemplo en sessionStorage
o localStorage
del cliente, y al cerrar sesión simplemente vaciaría sessionStorage
.
El detalle está en que en una app móvil se supone que no deberían cerrar sesión y la app estará funcionando siempre en segundo plano. Para ello, puedo generar un JWT que no expire.
El problema es que si la persona por ejemplo pierde el móvil y cambia la contraseña desde una PC, el token almacenado en el móvil seguiría siendo valido.
¿Cuál sería la solución?
Almacenar los tokens en la base de datos no seria una buena práctica ya que el principio de los JWT es que no se almacenan sólo en el lado del cliente. ¿Cuál sería una posible solución?