Microsoft Identity 平台场景中 access_token 和 refresh_token 的大小是多少，如果合理，是否应该存储在数据库中？

Question

我们的应用程序需要将 access_token 和 refresh_token 存储在数据库中，但是当我们将大小与 Salesforce 的相同令牌进行比较时 - 它要大得多：MS 2150 字符中的 access_token 与 SF 112 字符中的 access_token（刷新令牌的比率相似）。 我们正在使用代表流程： https : //docs.microsoft.com/en-us/azure/active-directory/develop/v2-oauth2-on-behalf-of-flow我的理解是 OAuth2 规范不会指定令牌的大小，它对实现开放。 问题是基于 cookie 的存储是否不是首选，或者对于自定义应用程序需要使用数据库访问/刷新令牌序列化的情况 - 长度/大小不是问题或限制吗？ 谢谢

Answer 1

AAD 令牌没有已知的大小限制。