6

Guardar os dados do usuário no SessionStorage é uma boa opção? Por exemplo, o usuário entra com o login e senha eu faço a autenticação no back-end e retorno o objeto inteiro, em seguida armazeno esse usuário no SessionStorage.

Estou com um pouco de receio de fazer esse processo dessa forma pois a senha e login ficam visíveis. Se não for uma boa opção qual seriam as opções para armazenar o usuário?

2
  • 1
    A questão é, porque a senha é incluída no objecto retornado? Isso não faz sentido e é totalmente inseguro, muito! Commented 23/02/2016 às 15:31
  • 1
    Como via de regra nunca guarde credenciais (criptografadas ou não) no cliente.
    – OnoSendai
    Commented 23/02/2016 às 16:43

2 Respostas 2

5

Techies, não acho que seja legal armazenar a Senha descriptografada do Usuário, seja no seu servidor de Banco de Dados ou no Browser do Usuario.

Então acredito que tem mais coisa a ser repensada aqui, primeiro vamos pensar no back-end, você deveria criptografar a senha usando algum algoritmo irrevelável, por exemplo PBKDF2 + SHA256, Blowfish ou BCrypt, você possivelmente deve encontrar implementações pela internet.

Então o Usuário para se autenticar iria enviar o usuario e senha, o servidor iria criptografar a senha e comparar ela com a senha criptografada no banco, caso tivesse sucesso, o servidor retornaria um Token de Acesso e não a senha.

Segue um exemplo de geração de Token de 128 bytes:

var tamanho = 8;
var index = -16;
var token = new byte[16 * tamanho];
for (var indice = 0; indice < tamanho ; indice++) {
    Guid.NewGuid().ToByteArray().CopyTo(token, index += 16);
}
Console.WriteLine("Exemplo: " + Convert.ToBase64String(token));

//Exemplo: bopofs47dU6dt98TR8NULgqDQ6gOwb5LlUyJV36HO83sOatKfGjpSLuS6y0jOMJUOEv9pM5Roky3I0rlxfjB3CSrCCqVkfRKjolgL5lIFD/Gy37tjU3uR74iCZSZceiwhhUnIM3Mr0qWUjwqAThB6jupiPLbkiJKmeL1lZtM7vo=

Você poderia armazenar este Token no seu Banco de Dados, assim como informações adicionais... Data de Acesso, IP, Nome da Maquina, etc... assim como uma Data de Expiração (Absoluta ou Relativa).

Agora temos o dilema de onde armazenar este Token, o problema do SessionStorage é que ele é unico por Tab do Browser, então se o usuário abrir uma nova aba, terá de autenticar novamente. então a sua opção aqui seria o LocalStorage, IndexedDB e/ou Cookies... para armazenar um Token, não vejo problemas em usar qual quer um deles... eu particularmente usaria o IndexedDB.

O Cliente precisaria apenas enviar este Token de acesso, apartir dele você será capaz de identificar o usuário.

1
  • Entendi, vou criptografar a senha. O token eu já tenho, estou usando JWT, Acho que posso recuperar apenas o código do usuário após o login, e toda vez que precisar usar esse usuario eu pego o código e faço uma nova consulta com token incluso. Commented 23/02/2016 às 16:18
2

Techies,

Uso o localStorage e ele funciona muito bem.

A arquitetura que utilizo funciona assim:

Usuário autentica > API retorna token > Armazena token no localStorage.

A cada nova requisição tem um interceptor no angular que valida se o token está na url (caso venha de uma aplicação externa) ou se está no localStorage.

Caso houver, adiciona-o no header da requisição.

Por fim, para verificar se o token é válido, no backend adicionei um middleware que faz esta checagem. Ex:

  exports.isAuthenticated = function (token) {
  try {
    return jwt.verify(token, config.secrets);
  } catch(err) {
    throw new TokenError(err.message);
  }
};

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .