Hola tengo una consulta con respecto a JWT y autenticación. ¿El servidor tiene que almacenar también el JWT y tenerlo relacionado con el cliente?
Cuando el cliente realiza login, recibimos el JWT token y lo almacenamos en localStorae con el key "auth":
const user{
email:user_email,
password:user_password
}
axios
.post("http://localhost:4000/api/login", user)
.then(function (response) {
if (response.data.success === false) {
// ACÁ SE DEBERÁ INDICAR QUE USUARIO O CONTRASEÑA NO EXISTEN!
} else {
localStorage.setItem("auth", response.data.token);
setTimeout(() => {
history.push("/");
}, 3000);
}
})
.catch(function (error) {
console.log(error);
});
};
Luego en nuestro Routes, podemos corroborar si hay un token y si es así podremos acceder a ciertas urls que son solo accesibles cuando se está logeado
const PrivateRoute = (props) => {
const token = localStorage.getItem("auth");
return <>{token ? <Route {...props} /> : <Redirect to="/login" />}</>;
};
Pero mi pregunta viene por: cuando el cliente envía una nueva solicitud (una vez ya logeado) al hacer un POST, GET, DELETE ¿Es necesario que el JSON que se envíe al servidor exista o esté en algún campo el JWT? Pero si es así, el servidor tiene que tener almacenado el JWT para corroborar que el usuario está registrado y es quien dice ser. Entonces ¿Qué diferencia hay con una sesión?
¿Cómo corrobora si el servidor no tiene el JWT almacenado en su base de datos que el cliente es quien dice ser?
Por ejemplo, en django, ¿debe existir un campo que sea jwt?
class User(models.Model):
email = models.EmailField(max_length=254)
token = models.BigIntegerField(default=None)
#Otros campos