Подготовка к интервью
33 вопроса с ответами по теме «Аутентификация, сессии и токены»
Что проверяют на интервью
Разберите границу между подтверждением личности и проверкой прав. Вопросы охватывают хранение и проверку токенов, завершение сессий, OAuth/OIDC, двухфакторную аутентификацию и ошибки реализации.
Каталог
Авторизация через JWT и имперсонализацию JWT представляет собой токен доступа, содержащий закодированные данные пользователя Сервер подписывает токен, что гарантирует его целостность и безопасность Имперсонализация…
Читать ответоптимальный и наиболее распространённый способ — передать Bearer-токен в HTTP-заголовке Authorization.
Читать ответбезопасность: дополнительный уровень проверки личности пользователя 1-й фактор: обычный пароль — то, что пользователь знает 2-й фактор: предмет или устройство во владении пользователя — телефон, токен варианты второго…
Читать ответпротокол авторизации, предоставляющий доступ к ресурсам три основные стороны: клиентское приложение, сервер авторизации и ресурсный сервер клиент получает разрешение пользователя, являющегося владельцем ресурса после…
Читать ответКак на фронтенде реализуется авторизация? Авторизация представляет собой управление доступом пользователя с помощью токенов. Access токен обычно помещают в HttpOnly Cookies, чтобы снизить риск XSS, либо хранят в…
Читать ответJWT (JSON Web Token) — стандарт компактных и безопасных для URL токенов аутентификации Формат токена включает header (тип и алгоритм), payload (данные и claims) и signature (подпись) Для проверки подлинности подпись…
Читать ответBasic Auth: логин и пароль передаются в заголовке в формате base64 Bearer Token: токен доступа указывается в заголовке Authorization OAuth 2.0: делегирование доступа с использованием access- и refresh-токенов API Key:…
Читать ответБезопасность: JWT передаётся клиенту, поэтому его могут украсть Конфиденциальность: пароль внутри JWT раскрывает чувствительные данные Аутентификация: достаточно передавать идентификатор пользователя или claims…
Читать ответCSRF прежде всего актуален для незащищённой cookie-based авторизации, при которой браузер сам добавляет данные в запрос.
Читать ответ