Токен авторизации Django Rest Framework статичен?

Question

[bQ1]

Изучаю DRF, а в частности токены аутентификации и заметил такую штуку, что при новом заходе токен остается таким же, а не генерируется новый, кроме того он еще и сохраняется в куки. Я конечно не эксперт в кибер безопасности, но мне кажется что это не круто :/

Вопрос: это норма? или если нет то как можно исправить

Answer 1

[Сергей Горностаев]

Да, это норма, львиная доля web-сайтов отдают сессионный токен в куки с продолжительным временем жизни. Но если хочется большей безопасности, то ничто не мешает вам переключиться на http-аутентификацию или использование JWT, например.

Comments

[bQ1]

но это же прямо очевидная уязвимость даже для не очень подготовленного юзера, как то странно

[Сергей Горностаев]

bQ1, по такой схеме действует TM ID, например, обеспечивающий аутентификацию Хабра, Тостера и других ресурсов TechMedia. Сможете взломать?

[bQ1]

Сергей Горностаев, все вы меня уделали)), спасибо