При выдаче JWT не задаётся claim exp. Переменная TOKEN_LIFETIME есть в .env.example и Dockerfile, но в Dart-коде не используется.
Влияние
Украденный токен остаётся действительным бессрочно; нет механизма ротации сессий.
Рекомендация
Добавить exp из TOKEN_LIFETIME; рассмотреть refresh tokens или denylist.
Трудозатраты
S
Источник: аудит безопасности GeoShare, 2026-06-26, commit abbd199d89925483ac1801b401a4e75a2a1372e0. Важность в issue поднята на одну ступень относительно severity в отчёте.
## Важность
**высокий**
## Категория
Authentication
## Место в коде
`bin/routes/auth_routes.dart:47-51`
## Описание
При выдаче JWT не задаётся claim `exp`. Переменная `TOKEN_LIFETIME` есть в `.env.example` и Dockerfile, но в Dart-коде не используется.
## Влияние
Украденный токен остаётся действительным бессрочно; нет механизма ротации сессий.
## Рекомендация
Добавить `exp` из `TOKEN_LIFETIME`; рассмотреть refresh tokens или denylist.
## Трудозатраты
S
---
**Источник:** аудит безопасности GeoShare, 2026-06-26, commit `abbd199d89925483ac1801b401a4e75a2a1372e0`.
**Важность в issue** поднята на одну ступень относительно severity в отчёте.
cucadmuh
changed title from [SEC-003][критический] JWT без срока действия to [SEC-003][высокий] JWT без срока действия2026-06-26 19:51:39 +03:00
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Важность
высокий
Категория
Authentication
Место в коде
bin/routes/auth_routes.dart:47-51Описание
При выдаче JWT не задаётся claim
exp. ПеременнаяTOKEN_LIFETIMEесть в.env.exampleи Dockerfile, но в Dart-коде не используется.Влияние
Украденный токен остаётся действительным бессрочно; нет механизма ротации сессий.
Рекомендация
Добавить
expизTOKEN_LIFETIME; рассмотреть refresh tokens или denylist.Трудозатраты
S
Источник: аудит безопасности GeoShare, 2026-06-26, commit
abbd199d89925483ac1801b401a4e75a2a1372e0.Важность в issue поднята на одну ступень относительно severity в отчёте.
[SEC-003][критический] JWT без срока действияto [SEC-003][высокий] JWT без срока действия