Выбор ответа Middle Аутентификация спрашивают часто обновлено
Зачем refresh-токен
Вопрос
Зачем схеме с JWT пара access + refresh, если можно выдать один долгий access?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Украденный короткий access быстро протухает, а refresh ходит редко и отзывается на сервере. Access летит в каждом запросе и проверяется без базы, поэтому его делают коротким: утечка живёт минуты.
Варианты ответа
- Refresh шифрует access при каждом запросе, без него access можно подделать и прочитать
- Access проверяется быстрее, если рядом лежит refresh: сервер сверяет их подписи парой
- Украденный короткий access быстро протухает, а refresh ходит редко и отзывается на сервереправильный ответ
- Refresh нужен, только если сервер работает по HTTP/1.1: в HTTP/2 соединение держит сессию
Разбор
Access летит в каждом запросе и проверяется без базы, поэтому его делают коротким: утечка живёт минуты. Refresh отправляется только на /auth/refresh, лежит в HttpOnly куке и учитывается на сервере, значит его можно отозвать при выходе или подозрении на кражу. Refresh ничего не шифрует, на скорость проверки access не влияет, и версия HTTP тут ни при чём.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.