Как лучше сделать авторизацию пользователей через JWT?

Question

[Дмитрий .]

Я думаю так: пользователь отправляет свои данные - проходит проверку на сервисе авторизации - генерируется access_token - записывается в БД, в которой хранятся "сессии" - access_token отправляется пользователю.
Но дело вот в чём, пользователь хочет получить доступ к защищённому ресурсу, проходит криптографическую проверку jwt, роль, время действия токена и нужно же ещё обратиться к БД с сессиями, чтобы узнать есть ли там эта сессия, активная ли она. Думаю такой подход позволит сделать сделать хорошую защиту от украденных куков. Но постоянно обращаться к БД из мидлваря это как-то слишком затратно.
Есть ли какой-нибудь нормальный способ сделать возможность сбрасывать все активные сессии к аккаунту и делать проверку на активность сессии?

Comments

[Владимир Дубровин]

Не надо использовать криптографию там, где не надо использовать криптографию.

Answer 1

[Сергей Горностаев]

Вы путаете JWT и сессии. Вся суть JWT в том, что в БД ничего писать не надо. Если вам нужно трекать пользовательские сессии и скидывать их, то JWT вам не подходит.