1

Estou desenvolvendo um api e estou com uma dúvida sobre como manipular o usuário logado. A api e administração do usuário logado (adicionar coisas, editar perfil, fotos, etc.) está desenvolvida em Rails em um único projeto.

Como tenho uma parte muito interativa nesse projeto, e estou utilizando o React para consumir a api. Essa parte é um projeto a parte que roda em um subdomínio. Hoje estou utilizando sessões para identificar o estado do usuário. Algum problema em continuar assim? Segurança? Performance? Cache?

Ex: O usuário loga em www.dominio.com (Rails+API+Adm) e quando vai para projeto.dominio.com (Projeto separado) ele permanece logado, fazendo requisições para GET www.dominio.com/api/v1/amigos.json com resultados específicos para esse usuário. Na api eu identifico esse usuário via sessão e não por query sting e nenhum tipo de parâmetro.

Outra dúvida: Quando o usuário logar, eu poderia criar um access_token e armazenar em sessão, para que ele navegue e faça consultas com esse access_token na api? Eliminado assim que minha api tenha que consultar a sessão e consulta pelo access_token.

Em um outro projeto que estou desenvolvendo em paralelo, a api está com access_tokens, entretando só tem a api, não tenha nada além dos serviços em rest.

2
  • Gostaria de estar em casa para responder sua pergunta. Lá pelas 21h, eu respondo. Por enquanto, me diga quantos usuários simultâneos sua aplicação pretende suportar. Até mais.
    – Rodmentou
    4/12/2015 às 15:18
  • Não tenho um número definido, mas seriam vários.. Eu vi que com o access token tenho mais flexibilidade para escalar, certo?
    – Ricardo
    4/12/2015 às 15:52

1 Resposta 1

1

JSON Web Tokens VS Sessions

Se estivermos falando sobre escalabilidade, não é possível usar somente Sessions porque o uso de memória ou I/O que você vai precisar é gigantesco. Usando somente JWT, tanto faz ter 10, 100 ou 100 milhões de usuários, mas nem tudo é somente doce.

O modelo híbrido é, normalmente, o melhor. Você pode persistir sessions para que o estado do seu usuário seja persistido entre vários dispositivos diferentes. Enquanto isso, o uso do JWT pode te auxiliar na redução do tráfego de rede e operações de I/O. Os JWT podem ser usados também para te dar uma aplicação de Login Único, onde as credenciais do usuário só serão utilizadas no primeiro login e, depois, você utilizará tokens de autorização para renovar seus tokens normais.

Para sua aplicação ter o estado mantido, basta assinar seu JWT com alguma informação relevante ao estado do usuário. Lembre-se que o JWT pode guardar qualquer informação que você quiser no lado do cliente, com o cliente sem conseguir ler aquilo. Você pode adicionar a rota atual, o caminho que ele percorreu e persistir no database depois, pode guardar o nomeDeUsuario ou algum token aleatório usado para identificar a sessão.

Sobre tráfego de rede, conforme você vai adicionando informações ao JWT, ele vai crescendo e, com isso, cresce também o tráfego de dados. É necessário perceber que cada estratégia possui um ponto negativo, sendo o uso do processador para decodificar os tokens o negativo dos JWT. Enquanto isso, o lado negativo das sessions é o uso de I/O e RAM.

Algo importante a se notar é que o design de sua aplicação deverá perceber quando é necessário fazer uso de I/O, sessions in-memory ou JWT.

Dois exemplos de aplicações minhas que posso te dar:

  • 1) Uma aplicação empresarial para 50~100 pessoas com pouco acesso.

Nessa aplicação, não me importei com muita coisa. As 50~100 seções estavam sempre na RAM para garantir o estado dos usuários. Uma queda de energia e 'xablau'. Enquanto isso, o login dos usuários era feito somente uma vez e, após isso, o servidor mandava um JWT somente com o username do usuário, que era utilizado para identificá-lo e salvo nos cookies. O servidor confiava no JWT criptografado e tomava o username como verdadeiro. Enquanto isso, a cada login o JWT era renovado por mais uma semana e, caso estivesse vencido, o servidor solicitava as credenciais.

  • 2) Uma aplicação de aprendizado, um jogo escalável.

Nessa aplicação, não haviam sessões. O usuário simplesmente cria a conta, recebe seu JWT, que é armazenado no Local Storage e fica logado para sempre. Sempre que ele vai para a aplicação, sua conta é identificada e um I/O é feito para lhe criar um personagem para jogar com base nas partidas anteriores. Sempre que o jogador morre, é feito outro I/O para salvar algumas informações sobre a partida e o personagem morto.

Resumo rápido

Tokens

  • Padronizado pela RFC 7519.
  • Bastante compatível com dispositivos móveis.
  • Consome mais CPU, mas menos RAM
  • Inseguro.
  • Nasceu para ser pequeno e manter logado com único login.
  • Armazenado no cliente, processado no servidor.

Sessions

  • Apesar de não ser padronizado, é largamente utilizado.
  • Workarounds para lidar com mobile.
  • Consome mais RAM e I/O, mas menos CPU.
  • Inseguro.
  • Nasceu para 'manter usuário logado'.
  • Armazenado no servidor.

Tudo é inseguro, só deixei como um lembrete. ;)

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .