OAuth2和移動設備 - 如何堅持長時間的用戶會話？

移動設備aren't considered一個機密的客戶端，這意味着它不能存儲祕密。在OAuth2的情況下，這意味着刷新令牌和用戶密碼不應該存儲在設備上。因此，一旦訪問令牌過期，就不可能刷新它，並且請求用戶再次登錄。OAuth2和移動設備 - 如何堅持長時間的用戶會話？

有沒有辦法堅持其他然後生成一個長期訪問令牌很長的用戶會話？是不是bad practice首先有一個長壽命的訪問令牌？

來源

2016-03-03 Benny Bauer

我想找到這個答案也。 [這篇文章]（https://alexbilbie.com/2013/09/securely-store-access-tokens-in-single-page-web-app/）建議通過服務器端腳本代理所有的調用，可以添加必要的令牌。但是我不清楚你如何在沒有單獨的會話的情況下妥善保護腳本，而這似乎破壞了OAuth的目的。 –

它的存儲訪問，並在設備上的受保護的空間刷新令牌的標準做法。在iOS上，您應該將它們存儲在鑰匙串中。有關如何做到這一點的詳細信息，請參閱本答案：

Storing access token and refresh token in KeyChain

來源

2016-03-03 19:22:01

如果手機被越獄或利用，鑰匙鏈可以被讀取。查看[OWASP的十大移動風險]（https://www.owasp.org/index.php/Mobile_Top_10_2014-M2） –

OAuth2和移動設備 - 如何堅持長時間的用戶會話？

回答

相關問題