Хранение ключа для авторизации

252

25 января 2018, 16:56

Пытаюсь реализовать авторизацию на сервере из android-приложения по алгоритму из этого ответа. Хотелось бы узнать больше о том, как хранить ключи для авторизации на сервере.

Сейчас я добавил в основную таблицу с пользователями 2 столбца: для ключа и времени последнего действия.

Правильно ли я понимаю, что нужно хранить не сам ключ, а его хэш, полученный, например, методом password_hash? Но тогда, чтобы не выбирать для проверки все ключи из базы, нужно ещё слать на сервер логин? В ответе по ссылке про логин ничего нет. Или нужно делать как-то иначе?

Answer 1

Посмотрите в сторону JWT авторизации. Сам JWT передается в http заголовке Authorization. В JWT токен можно зашить время жизни и пользовательскую инфу, типа его ID и т.п. Реализовано множество библиотек под разные ЯП