Аутентификации about diary-workout-tracker-backend

[holohup]

Речь все-таки об аутентификации, а не авторизации. Немного разверну.

1. Нужно сделать эндпоинт для запроса кода на е-мейл. Туда отправляется е-мейл, ответом приходит что все ок или ошибка, если все ок, на почту уходит код. Предусмотреть защиту от большого количества запросов, например, сделать, чтобы е-мейл отправлялся не чаще 1 раза в час.
   Нужно ли время жизни кода?
2. Создать другой эндпоинт, который по коду выдает JWT-токен. Нужно ли токену время жизни?

[NECROshizo]

1. Предусмотреть защиту от большого количества запросов, например, сделать, чтобы е-мейл отправлялся не чаще 1 раза в час.

Предполагаю, что такое ограничение будет противоречить кнопке "Отправить повторно код". Но идея отличная, предлагаю вариант отправки ограниченного количества( например 4), а потом блок на час.

Нужно ли время жизни кода?

Хороший вопрос, я считаю что нужно, что если человек не вел код в течение n минут, то кода недействителен. Но в дизайне нет таймера отсчитывающего время.

2. Создать другой эндпоинт, который по коду выдает JWT-токен. Нужно ли токену время жизни?

Мне виделся вариант, что если человек долго(а вот сколько вопрос) не пользовался токеном, то сбрасывать.
(￣ω￣)

[holohup]

Пока решил, что код можно запрашивать как угодно часто, но будут настройки максимального количества попыток в течение минуты и часа. Вроде, достаточно гибко, и при этом логично и не мешает если неправильно ввел код.

Также настраивается время жизни кода (на собрании решили, что 5 минут)

Я думаю, jwt можно вообще не сбрасывать, так как по идее его можно перевыпустить вообще без кода, если знаешь старый, но зачем лишняя работа нам и iOS?

[holohup]

По поводу регистрации и восстановления все-таки разница есть - если при регистрации обязательными будут еще какие-то поля, типа имени. Ждем, что решат Александр со товарищи.