访问令牌加密与否

Question

我们将访问令牌存储在数据库中，它是一个随机字符串，它按原样存储，没有加密。

它必须加密吗？ 是否存在安全隐患？

Answer 1

这取决于这些令牌的目的。 通常永远不会存储访问令牌。 它们不是随机字符串，而是基于严格要求（验证）发布并由HMAC和密钥签名的短期对象。 所有这些都是使它们安全的措施。

如果它们只是随机字符串，则它们不会满足任何这些措施。

Answer 2

您可以在令牌存储在数据库中时加密令牌，以避免在发生数据库泄露时泄露令牌。 但当然，它当然归结为您如何保护/存储您已加密令牌的密钥。

如果您认为可以比数据库存储/访问更好地保护加密密钥，例如通过使用HSM或安全文件存储，那么在存储它之前使用这样的密钥加密令牌是有意义的。