認證

2014-05-11 51 views
0

我的web應用程序有一個主站點,使用OAuth通過第三方服務進行登錄(在這種情況下,它的Github上)。爲了保持登錄狀態,訪問令牌存儲在會話中。到現在爲止還挺好。認證

有,做後臺處理該應用程序的一部分。引用the 12-factor App,這聽起來像我應該將這部分分成它自己的資源(本質上是一個單獨的應用程序),並通過HTTP發送請求(異步)處理(請參閱Backing Resources)。

的問題是,這部分需要訪問第三方服務也是如此。我如何安全地給它訪問令牌?

如果它是有幫助的,我使用西納特拉和Ruby gem的少數(REST客戶端,Octokit等)。

回答

0

一堆的研究之後,我決定做的最好的事情是隻發送令牌上的REST請求的消息體。

我認爲這將是不安全的,但它沒有比Github的要求更加不安全,它首先爲您提供訪問令牌。當然,使用TLS(https)防止令牌被攔截非常重要。

這裏的安全建議一個偉大的名單,以遵循的oauth2承載令牌:

http://self-issued.info/docs/draft-ietf-oauth-v2-bearer.html#anchor6