Как защитить авторизацию в реакте от ручного добавления левого токена?

Question

[Daeamon]

Здравствуйте, в реакте для авторизации пользователя использую jwt + на клиенте проверяю поле токена в sessionStorage.
Но в итоге получается если пользователь забьёт левый токен руками то он сможет производить навигацию по закрытым страницам(данные конечно он не получит).
Есть ли какой ни будь метод защитить свое приложение от подобных действий? Проверка по таймеру решение так себе, да и возможно и такое можно обойти.

Comments

[Пашенька]

Токен, как и всё остальное, должен проверятся на сервере.

Answer 1

[Mikhail Osher]

Показывать или не показывать страницы от тупо наличия токена в sessionStorage - это плохая идея.
Токен обязательно должен валидироваться сервером, и уже от результата проверки плясать на UI.

Answer 2

[Василий Мажекин]

Если будет левый токен, то при навигации по закрытым страницам вы же все равно какие то данные запрашиваете. Токен передается серверу в каждом таком запросе в хедере (данные закрытых страниц должны быть защищены на сервере), и если токен левый вам сервер вернёт ошибку 401, и если вы ее получили то делайте редирект на логин страницу или на страницу ошибки 401 и удаляйте токен.

Comments

[Daeamon]

Интересное решение, думал насчёт обработки открытия новой сессии каким то образом.