OAuth最佳實踐

Question

我正在編寫一個應用程序，並使用OAuth進行身份驗證和獲取用戶的電子郵件。我正在成功進行身份驗證，但我不確定如何管理會話。我想保護我的資源，但我不認爲每次用戶轉到新頁面時都要重新進行身份驗證。

電流

• 用戶點擊
• 用戶「與谷歌登錄」被重定向到谷歌批准的要求
• 服務器獲取用戶的認可令牌
• Server使用令牌獲取電子郵件

現在什麼？

我使用OAuth2支持它的服務（Facebook，Google）和OAuth1a。

我很難在用戶訪問網站時找到返回用戶流和維護身份驗證流。維護會話或返回用戶的最佳做法是否有良好的資源？

Answer 1

當用戶通過google登錄時，您的應用將獲得（刷新+訪問）令牌對。您可以使用訪問令牌來獲取用戶的資源，並可以根據需要使用刷新令牌獲取更多的訪問令牌。通過在需要時更換刷新令牌，您的應用可以獲得更多的令牌。因此，刷新令牌是提供者使其可用時的答案。這是如何可以在Facebook上做

更多細節可以看這裏 - Refresh token and Access token in facebook API

此外，在意見的問題中提到的鏈接中包含一個很好的答案，你應該看到的。隨意發佈任何更多的查詢。