سلام

طبق گفته ی مهندس مدائنی بنده برای احراز هویت در سمت api به سراغ JWT رفتم

با توجه به اینکه JWT خود شمول هستش اغلب کاربردی در سیستم هایی که طراحی می کنیم نداره.

بنده هم نیاز دارم تا دسترسی کاربر رو محدود کنم یا بلاکش کنم و یا کارهایی که از JWT خود شمول بر نمی آید.

برای همین سورس کدی رو از گیت هاب گرفتم که توکن های صادر شده رو در دیتابیس سرور ذخیره میکنه و منقضی میکنه و یا نمیذاره کاربری با بیش از یک توکن لاگین کند و ... که برپایه ی OWIN کار میکنه

از طرفی این توکن ها برای ارجاعات بعدی به سرور هم میتونن به عنوان کوکی و هم در دیتابیس سمت کاربر ذخیره شوند.

خب با این وجود دیگه چه فرقی بین احراز هویت با JWT با Identity هستش ؟!

خب Identity هم با سیستم خودش توکنی رو رمز نگاری میکنه و تو کوکی نگه میداره و به ازای اون یک session در سمت سرور ایجاد میکنه تا بتونه کاربر ها رو مدیریت کنه

سیستم بنده هم از دیتابیس میخونه و عملا میشه session ای که در دیتابیس مدیریت میشه و نه داخل رم که حتی کندتر هم هست! شما فکر کنین درخواست های همزمان هیچ کش شدنی اتفاق نمیفته و دائم داریم از دیتابیس توکن رو بررسی میکنیم که این خودش پدر سرور رو درمیاره!

لطفا راهنمایی کنید که کاری که کردم منطقی بود ؟ واقعا خود شمول بودنش دردسر میشه واسم چون نمیتونم کاربرا رو مدیریت کنم اگه هم بخوام یکی رو بلاک کنم باید secret رو تغییر بدم که اینطوری کل توکن ها نامعتبر میشن.

سوال بنده این هستش که در این صورت برتری JWT به سیستم احراز هویت Identity 2 چی هستش و چه چیزی امنیت این سیستم رو بیشتر میکنه ؟!