Envoyer userID dans la méthode ou envoyer Token

Question

Je crains, comment dois-je envoyer le code d'utilisateur pour mapper une entité:

En supposant que je suis en utilisant angulaire ou réagis ou quel que soit le cadre de la première page, comment puis-je besoin d'envoyer l'ID utilisateur sur l'entité.
Par exemple, si l'utilisateur crée un produit, mes options sont:

1) Envoyez le produit avec l'ID utilisateur:

• Mon back-end cherchera l'utilisateur par ID utilisateur
• ensemble l'utilisateur dans le produit.

2) Envoyer le produit avec le jeton d'utilisateur:

• Mon back-end validera le jeton.

• obtenir à partir du jwt l'ID utilisateur figurant dans la revendication.

• Rechercher l'utilisateur par l'id

• l'utilisateur défini dans le produit

Quelle est la meilleure option pour le faire?
Je pense que si j'envoie l'explicite userID de la première page, ce sera un problème de sécurité, au lieu d'envoyer le jeton.

Answer 1

Le premier n'est pas sécurisé. Quelqu'un pourrait envoyer un autre userId. Le second a aussi quelques problèmes de sécurité, mais pas aussi grave que le premier. Et si vous avez un jeton d'accès, envoyez un jeton d'accès non un jeton d'identification. Le jeton d'identité est pour le côté client.