Хранение API токена в бд?

Question

[Mikkkch]

Здравствуйте, у меня реализована такая система, что после входа пользователю генерируется посредствам его имени, секретного ключа и алгоритма токен, который устанавливается в сессиях с ключом Authorization. После этого пользователя перенаправляет на главную страницу, на которой расположен его API токен, посредствам которого он сможет осуществлять API запросы из веб-версии и из какого-либо другого места типа Postman.

Есть ли надобность хранить API токен в БД? У этого токена есть лайфтайм и после того, как он истечет пользователю вновь придется открыть сессию куки(авторизоваться с помощью веб формы), зайти на главную страницу и возобновить токен для дальнейшего использования.

Answer 1

[Владимир Коротенко]

Сделайте рефреш токен и пусть клиент его обновляет. В случае единственного клиента и сервера хранить в общем то не нужно, сервер сам вычислит что токен протух и пошлёт новый. Гайдов в сети куча.

Comments

[Mikkkch]

так, а куда его положить то? в случае с кукисами просто сгенерированный токен ключом в сессию кидаешь, а апи токен влияет на авторизованность только в API, в общем , чтобы попроще было, то для того, чтобы пользователь увидел свой апи токен ему нужно сначала войти в систему посредствам веб интерфейса

[Владимир Коротенко]

Mikkkch, вы опишите свою связку, клиент куки отсылает сам так что он авторизован по любому.

[Mikkkch]

Владимир Коротенко, насчет связки не понял, Вам нужно технологии перечислить? Если да, то: Python(FastAPI + PYJwt)