Безопасно ли хранить в сессиях user_id?

Question

[codercat]

Используем для фронтенда jwt авторизацию, но понадобилось сделать привязку социальных аккаунтов через oauth2.0 и на redirectUri токен теряется.

То есть на запрос /accounts/attach/vk?token={jwt_token} я знаю какого юзера я отправляю на oauth, а после того как он возвращается на redirectUri -- нет. Думаю в контроллере, который перекидывает на oauth, записывать user_id в сессию и получать на redirectUri нужного юзера. Безопасно ли это?

Answer 1

[Anton Mashletov]

Безопасно. Не понимаю, что может произойти, если узнали user_id пользователя. На некоторых сайтах он в открытом виде в url прописан.

Comments

[Алексей Уколов]

Вопрос не столько в том, что кто-то может прочитать эти данные, а в том, что кто-то сможет их изменить.

Answer 2

[Алексей Уколов]

Вполне безопасно. При cookie-based авторизации id пользователя же тоже в сессии хранится.

Comments

[codercat]

А никакие дополнительные токены там, случаем, не хранятся?

[Anton Mashletov]

codercat, нет, зачем.