在cookie中存儲OAuth令牌不良做法？

是否在cookie中存儲了一個OAuth 2令牌？如果是這樣，那麼Web應用程序有哪些替代方案？在cookie中存儲OAuth令牌不良做法？

來源

2016-12-10 Tryingitall987

檢查[這個答案]（http://stackoverflow.com/a/40376819/204699）比較了可能的選項及其在基於瀏覽器的客戶端應用程序中存儲安全令牌的優缺點。 –

我絕對不會這樣做。在涉及安全性時，您不應該將內容存儲在其他人可以訪問的地方。所以不要將它存儲在任何地方，特別是客戶端。

這就是說，這是不壞的做法，本身如果處理得當。關於它的綜合性文章見this。

來源

2016-12-10 14:53:47 TigOldBitties

將它存儲在會話cookie下似乎是一個好方法。對此方法有任何異議？ – Tryingitall987

這一切都取決於它如何處理，如果用戶離開計算機並且不關閉瀏覽器，其他人是否可以使用令牌？我無法回答這個問題，因爲我不知道你是怎麼使用它的。有太多的事情要說，所有這些都在文章或其他資源中解釋，比我所能做到的要好，所以如果你的方法有缺陷，你必須得出你自己的結論。 – TigOldBitties

是否可以在cookie中存儲的依賴的access_token在以下幾件事：1。存儲在cookie時加密或不被ACCESS_TOKEN（這絕對應該是） 2.是的access_token承載令牌，因此它不依賴於瀏覽器流動。一般而言，Cookie是爲了維護瀏覽器中的狀態。因此，如果令牌的生命週期與cookie相同，則不要繼續。當我說生命週期，我的意思是生命週期等。 3.另外，請考慮這一事實，訪問令牌不是身份令牌， 4.訪問令牌完全是客戶端和服務器，通常使用Cookie來維護會話，主要是維護匹配服務器端會話。我希望這可以幫助。

來源

2016-12-10 20:28:11 dvsakgec

在cookie中存儲OAuth令牌不良做法？

回答

相關問題