ログインに成功すると、SPAがロードされるホームページにリダイレクトされます。 JWTでセッションクッキーを使用しているのは悪い考えですか？

Question

私はexpress + postgresバックエンドを持っており、私はFB oauthのた​​めにパスポート - フェイスブックを使用しています。

ユーザーが/に私のアプリにヒットし、localStorageに有効なトークンを持たない場合は、/loginになります。

私の/loginページ（よく似た「Facebookに続行」メッセージが表示されます）は、サーバーのレンダリングです（さまざまな理由で）。このボタンをクリックすると、ユーザーが存在するかどうかを確認し、最初のJWTでセッションCookieを送信するか、新しいユーザーを作成して最初のJWTでセッションCookieを送信します。いずれの場合も、成功条件は/にリダイレクトされ、SPA資産を提供したことです。

SPAが最初に行うことの1つは、セッションクッキーからJWTを取り出し、それをlocalstorageに入れてからクッキーを削除することです。

これはひどいアプローチですか、それとも私のユースケースで有効ですか？

Answer 1

JWTをクライアントに保存する手段としてセッションクッキーを使用しています。これは、サーバーリソースを費やして有効期限が切れるまで開いたままのサーバーセッションを作成することを意味します。

セッションクッキーはJavaScriptから読み取れないため、JWTを取得するサーバーにリクエストを送信します。

このプロセスは問題はないようですが、set-cookieヘッダーの通常のCookieを使用して、リダイレクトプロセスを直接JWTの応答で送信することで最適化できると思います。クッキーはクライアントに保存され、直接アクセスすることができます