П token based authentication?

Question

[alek0585]

Как это работает эта логика?
Допустим, что использую только mysql. Создаю две таблицы, users и tokens
Авторизуем пользователя - добавляю в tokens одну запись с id пользователя и сам токен, допустим md5(timestamp+login+salt).
При аутентификации смотрю, есть ли такой токен среди токенов и по нему получаю id пользователя.
Логаут - удаление токена.

А что делать если нет логаута? Как отслеживать случай, когда токен устарел и пора бы его удалить (к примеру, 1 неделя)

Напоминаю вопрос "ЧТО ДЕЛАТЬ СО СТАРЫМИ ТОКЕНАМИ"

ОТВЕТ
или это

Answer 1

[r0xer]

Можно определить максимальное время жизни токена. И в момент активности пользователя это время обновлять. Вообще token-based авторизацию принято делать для доступа к закрытой системе без ввода логина/пароля. Типичный пример это какое то внешнее приложение, которое хочет использовать ваш доступ к системе но вот l/p этому приложению передавать небезопасно.

Comments

[alek0585]

а я если я почистил куки и токен у клиента исчез, он опять логинится, создается новый токен, что со старым делать? кто его удалит?

[r0xer]

Да, запросить l/p и создать новый токен.

[alek0585]

я спросил что делать со старым. а вы бред не в тему написали. ужас.

[Дмитрий Сидоров]

@alek0585 вам уже ответили - обновлять время токена при каждой активности пользователя. Если времени прошло больше определенного значения - удаляем токен и отправляем пользователя на форму логина...
Удалять старые токены - можно периодически запускать скрипт по cron, который будет удалять "протухшие" токены из базы.

[alek0585]

@Doomsday_nxt скрипт по крону? ну вы юморист

[Дмитрий Сидоров]

@alek0585 а в чем проблема? Вы не умеете запускать скрипт по крону?

Answer 2

[Назар Мокринский]

Что мешает вместе с токеном хранить срок его годности?
Вообще почитайте, например, спецификацию OAuth2 - там весьма понятно описаны все моменты связанные с получением и обработкой токенов, лучше использовать именно такой, общепринятый и весьма неплохой подход.

Comments

[alek0585]

а вы читали? страниц там немало. хранить можно. но вопрос в другом, как удалять старые токены?