在Meteor.js帳戶以外存儲訪問令牌有什麼安全隱患？

Question

我期待構建一個Meteor.js應用程序，它將使用社交媒體API執行各種任務。

不同的社交媒體帳戶需要關聯到應用內的不同項目，而不是與一個用戶關聯。因此，將相關的訪問令牌存儲在項目集合中對我來說是有意義的。

我只是想知道這種方法是否存在任何安全隱患，因爲我可以找到任何人試圖證明這一點？

Answer 1

OAuth令牌通常代表一個人，所以我認爲最好總是與單個用戶關聯。雖然你可以將一個令牌綁定到一個項目上（例如可口可樂臉譜媒體活動），但它可能會很麻煩（你是否考慮過同一項目中的多個用戶？1個用戶超過1個項目？）。我猜每個項目都是針對媒體廣告系列的，如果是的話，每個廣告系列可能應該是用戶的一個子實體。

例如， 我建議OAuth令牌和用戶之間是一對一的關係。 然後，每個用戶都有一個屬性，如projects = []，您可以將項目ID作爲外鍵放入數組中。然後在項目集合，每個項目將至少有2個字段：

{ 
    tokenAPI: facebook 
    token: 2039asfkljelkfajw 
} 

沒有安全問題，無論哪種方式，節省了一些頭痛的只是可能性。