Нужно ли сверять токен в БД?

Question

[Денис]

Приветствую, господа! У меня есть пара маленьких вопросов в плане безопасности, а точнее её усилении. После успешной аутентификации, пользователю в сессию записывается токен, который подставляется во все формы и сверяется на сервере. Есть ли смысл записывать токен в БД и при каждом запросе сверять его еще и там? Вот сижу и думаю: если на одну чашу весов положить такую дополнительную меру, а на другую - мучит БД при каждом запросе, то сто́ит ли игра свеч? Да и вообще, имеет ли смысл использовать токен после успешной авторизации, если работа ведется по SSL? Может быть достаточно просто проверять: есть сессия или нет?

Comments

[Виталий Хоменко]

> который подставляется во все формы и сверяется на сервере

Зачем?

[Денис]

Виталий IIIFX Хоменко: Вопрос скорее не комне, т.к. я делаю рефакторинг уже существующего кода. ))

Answer 1

[Sergej]

Смысла нет хранения в БД.
Использование токена еще ни кому не вредило =)

Вполне себе хватает что то вроде этого:

$csrf = $this->get('form.csrf_provider');

$token = $request->get('csrf_token');
// $data - какие либо шифрованные  данные, к примеру email
if ($csrf->isCsrfTokenValid($data,  $token)) {
    //...
}

Comments

[Денис]

Ясно, спасибо. Если можно, то еще один маленький вопрос. Достаточно ли идентифицировать пользователя просто по наличию сессии? В смысле, проверять: авторизован он или нет.

[Sergej]

Денис: Да, вполне.
Но я использую еще шифрованный токен который находится в куках.
В этом токене содержится email + еще некоторые данные и персональная соль.
При обращении, данные расшифровываются на стороне сервера и проверяются.

Так же, данный токен ложится в localstorage. Даже если сессия закончилась и пользователь зашел на сайт, ему не надо проходить аутентификацию, система сама определит и впустит пользователя.

[Денис]

> пользователь зашел на сайт, ему не надо проходить аутентификацию

Sayber ☠ а вот этого как раз не нужно )) И про localStorage/sessionStorage, я естественно знаю, т.к. фронт-энд - это моя стихия )) Еще раз, спасибо.