0

estoy haciendo un pequeño login, pero estoy tratando de hacerlo de la mejor manera posible, estaba probando solo con un token y lo guardaba en la BD, entonces desencriptaba y comparaba con el token, si era igual y no estaba vencido entonces permitía el acceso, de lo contrario negaba el acceso. Pero me dijeron que el Token no se debería guardar en la BD y me recomendaron usar un refreshToken además del token (access token). según he leído, la ventaja de usar un refreshToken es no obligar al usuario a tener que loguearse de nuevo una vez que el access token expire, y en este caso, el refreshToken si se debería guardar en la BD según tengo entendido, es esta la única ventaja? además también leí que el refreshToken también debería vencer, como se haría en este caso? se tendría que tener que agregar 3 columnas a la tabla de cada usuario (refreshToken, fecha de emisión y de expiración? otra duda que tengo es que ví en un lugar que para saber si el access token es válido solo lo desencriptan y si se logra desenctiptar quiere decir que es válido, es decir, no habría necesidad de comparar si es igual al token generado por el backend ? disculpen tantas preguntas, pero por más que he leído no me ha quedado claro, o no se si es que las guías que he encontrada no son del todo completas. Agradezco mucho al que me pueda ayudar a entender mejor esto. Gracias de antemano. Saludos!

1 respuesta 1

1

Me dijeron que el Token no se debería guardar en la BD Es correcto. De [jwt.io]

JWT define una forma compacta y autónoma para transmitir información de manera segura entre las partes como un objeto JSON. Esta información se puede verificar y confiar porque está firmada digitalmente. Los JWT se pueden firmar usando un secreto (con el algoritmo HMAC) o un par de claves pública / privada usando RSA o ECDSA.

Tomado de aqui

Esa es la finalidad del token. En realidad no es seguro, y se no se debe poner informacion sensible como contrasenas y numeros de tarjeta. Si entras a jwt.io veras algunos ejemplos.

y me recomendaron usar un refreshToken además del token (access token). según he leído, la ventaja de usar un refreshToken es no obligar al usuario a tener que loguearse de nuevo una vez que el access token expire, y en este caso, el refreshToken si se debería guardar en la BD según tengo entendido, es esta la única ventaja?

En mi opinion, si tu proyecto empieza, no es necesario implementar aun un nivel de seguridad tan alto por el costo de programacion que te llevara (Aprendiendo implementacion, etc). Si lo quieres hacer y tienes tiempo, es mejor.

Puedes leer esta respuesta para un entendimiento mas profundo.

además también leí que el refreshToken también debería vencer, como se haría en este caso? se tendría que tener que agregar 3 columnas a la tabla de cada usuario (refreshToken, fecha de emisión y de expiración?

Con solo guardar el token deberías poder obtener la fecha de expiración, que es lo mas común. En una implementación personal podrias utilizar (dentro del token) la fecha de emision si asi lo requieres. (Yo no lo he ocupado en mis proyectos)

Dependiendo de la tecnología, hay librerias que te permiten de manera muy fácil la gestión de los tokens. Por ejemplo, en expressjs, con node tienes express-jwt

otra duda que tengo es que ví en un lugar que para saber si el access token es válido solo lo desencriptan y si se logra desenctiptar quiere decir que es válido, es decir, no habría necesidad de comparar si es igual al token generado por el backend ?

Es correcto. No requiere acceso a la base de datos. Solo se tiene seed en tu api que sirve para encriptarlo. Cuando se hace correctamente y las llaves publicas coinciden entonces el token es valido. No es solo desencriptar, es que la llave publica sea valida. Esto lo puedes ver en jwt.io donde viene un panel para que veas el funcionamiento de jwt

Interesante

https://jwt.io/introduction/

9
  • Hola @Angel gracias por tomarte el tiempo en responder. Yo en la carga útil del token incluyo fecha de emisión y expiración y estoy usando la librería jwt-simple, en un tuto vi que solo usan el método decide y si no arroja error entonces quiere decir q es un token válido, ahí tenía esa duda, si solo basta con eso? También vi q el refreshToken lo hacían usando ramdonToken (no usaban la librería jwt-simple, es decir, no tenía fecha de emisión ni expiración), quiero usar el refreshToken para tener experiencia con un proyecto futuro aunque me ha costado xq no he encontrado algo que explique bien
    – JulianProg
    el 18 may. 2020 a las 23:44
  • si solo basta con eso? Si, por que compara la clave secreta que tienes en tu API con la publica que tienes en el token (Que todo mundo lo puede ver) El problema es que tu clave sea muy facil o que alguien acceda a ella.
    – Legna
    el 19 may. 2020 a las 13:15
  • ` no he encontrado algo que explique bien ` Es mas una metodología. Por eso suelen explicar a grandes rasgos que debería hacer. Toca leer bastante para empaparse del concepto.
    – Legna
    el 19 may. 2020 a las 13:18
  • Ok, y recomiendas crear el refreshToken como si fuese un token normal, es decir, con la librería jwt-simple ? Lo pregunto xq vi que lo generan con una librería ramdonToken, que genera solo una cadena aleatoria (sin fecha de vencimiento ni nada). Y por último... El refreshToken si lo guardo en la BD para poder comparar si es el de ese usuario q intenta loguearse, correcto ?
    – JulianProg
    el 19 may. 2020 a las 13:19
  • Revisa esto: solidgeargroup.com/…
    – Legna
    el 19 may. 2020 a las 13:26

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.