Сравнивает риск кражи через XSS и риск автоматической отправки cookie
Попробуйте прямо здесь
Отвечает Gemma 3 12B — модель подобрал сервис
Доступ без VPN
Русский интерфейс
Оплата рублями по факту
Зачем
Зачем это нужно
Ограничивает жизнь access-токена и вращает refresh при каждом обновлении
Хранит состояние отзыва, чтобы украденная сессия не жила до конца срока
Вопросы
Частые вопросы
Почему localStorage считают опасным?
Любой JavaScript на странице может прочитать его, включая внедрённый через XSS или скомпрометированную зависимость. HttpOnly cookie недоступна скрипту, но отправляется браузером автоматически. Модель выберет схему вместе с CSP, CSRF-защитой и архитектурой клиента, а не отдельным модным правилом.
Можно ли отозвать JWT до истечения?
Самодостаточный access-токен сервер обычно не проверяет по базе, поэтому его ограничивают коротким сроком. Refresh-сессию можно хранить и отзывать, прекращая выпуск новых access. Для немедленного запрета критичных операций добавляют версию сессии или список отзыва, осознанно возвращая серверное состояние.
Что делать при повторном использовании старого refresh-токена?
Это признак кражи или параллельной гонки. При ротации сервер хранит цепочку и может отозвать всю сессию, потребовав новый вход. Модель продумает атомарную замену, чтобы два честных параллельных запроса не выпустили две ветки токенов и не выглядели как атака.
Рядом
Соседние страницы каталога
Дальше — весь каталог задач: поиск по названию, темы и фильтры.