Алексей Шашенков: ваше решение через crypto.pbkdf2 отлично работает. Огромное спасибо! Правда вот интересно, такие операции, как шифрование, которые не зависят от сторонних "сервисов" типа баз данных, файловой системы, сетевых ресурсов и тд. Их случайно не целесообразнее делать синхронно, ведь там по сути сама операция длится десятую долю милисекунды, по сути делая такие операции асинхронно возможно оставят нас в минусе по производительности из за обработки промиса?
dskozin: что мешает злоумышленнику отправить запрос вместе с ид устройства? Предположим, запрос со всеми параметрами был извлечен прямо из браузера) Это нам ничего не даст
да, вы все правильно поняли. меня и волнует этот промежуток до повторной аутентификации реального юзера. Так в этом модуле jwt-auth, который на гитхабе имеет 1500 звезд даже протухание похищенного токена не предусмотрено после повторного ввода логина и пароля реальным пользователем
я уже изучил документацию и разобрался в схемах работы, но у меня сложилось впечатление, что для проектов, не предоставляющих доступ к серверному апи, passport, реализующий oauth2 вообще не нужен, возможно вполне достаточно будет воспользоваться встроенным tokenGuard
смысл в конфиденциальности для серьезных коммерческих приложений. Я полагаю, что таким образом даже провайдер не сможет разглядеть что в запросе, если передача будет по https
смысл в конфиденциальности для серьезных коммерческих приложений. Я полагаю, что таким образом даже провайдер не сможет разглядеть что в запросе, если передача будет по https
