通過Twitter OAuth安全登錄 - 最佳實踐

Question

我是新來的OAuth和尋求建立使用Twitter（的OAuth）來驗證的Web應用程序。除了通過Twitters oAuth，將沒有其他登錄方法。我正在尋找最佳實踐方面的建議，以根據令牌保護網站。這是我的計劃：

• 用戶是從我的網站採取通過Twitter的網站進行身份驗證
• 生成用戶訪問令牌
• 獲得通過Twitter API的用戶獨特的Twitter ID
• 做一個用戶查找中本地數據庫與此ID並找到訪問令牌（如果可用）。
• 如果沒有用戶，請在用戶表中創建新行並針對用戶進行保存。如果用戶找到，則更新訪問令牌再次用戶記錄。
• 如果找到用戶，md5_salt twitterid並設置爲cookie。
• 如果基於cookie的

用戶重新訪問，查找用戶這聽起來像一個安全的方法或使用MD5的Twitter ID的壞主意？

感謝您的評論。

Answer 1

不知道你的客戶/消費者應用程序正在做什麼，很難說這種方法是否「安全」。

我看到的一個問題是，一旦您有來自twitter的訪問令牌，如果Cookie被刪除，您如何識別您的用戶？或者你是否會要求他們獲得新的訪問令牌？這意味着他們每次都必須登錄並授權您的應用程序。

此外，您的應用程序的一個用戶的訪問令牌。可能會被您的應用的其他用戶盜用並使用。因爲它的工作原理就像密碼一樣，並且您沒有身份驗證來驗證Cookie保存的訪問令牌。

要回答你的問題的話，我會說，使用OAuth作爲唯一的身份驗證提供者，無論你怎麼做，是不是最佳做法。

爲了安全起見，客戶端（消費者）應用程序和服務器（提供者）應用程序都需要驗證用戶的身份。最簡單的方法是使用用戶名和密碼存儲在用戶頭部，而不是存放在某處...