直接在cookie中的客戶機上保存OAuth WRAP訪問令牌？

Question

我打算建立一個可訪問oauth wrap框架的網站。我正在考慮將訪問令牌存儲在客戶機上。我不想維護服務器上的臨時令牌等數據庫。

我應該這樣做嗎？或者我應該加密它？

Answer 1

首先，爲什麼他們不使用OAuth 2.0 ...

，您可以存儲在cookie中的OAuth認證，或更好，但在HTML5本地存儲。它應該被加密，以便只有服務器才能訪問這個cookie，並且只有服務器可以使用該令牌。此外，它應該是一個安全的cookie，以防止它泄漏出去。至少做這兩個中的一個（安全，加密）。

但請記住，cookies可能會丟失，並且如果用戶登錄到您的站點，它將無法從其他機器上運行。