存储第三方令牌

Question

存储第三方 oauth jwt 令牌的最佳做法是什么？ 例如，使用 zoom oauth api，它响应访问令牌和刷新令牌。 我应该把它存放在哪里？ （访问令牌的寿命为 1 小时）

我认为，将访问令牌存储在 session 中并在数据库中刷新令牌。 它安全且良好吗？

Answer 1

一个更好的选择是永远不要在浏览器中存储令牌，而是在后端 100% 地处理它。 请观看此视频，了解有关如何以最安全的方式执行此操作的更多详细信息。

• 警报'OAuth 2 0'; // XSS对SPA中OAuth 2 0的影响

• 使用 BFF（前端后端）模式保护 SPA 和 Blazor 应用程序 - Dominick Baier

Answer 2

这完全取决于您的 OAuth 流程类型（离线或在线）。 如果在线，那么您需要将第三方令牌存储在 session 中，对于离线，您需要将令牌存储在您的数据库中。

有关 Zoom REST API 和 SDK 集成的更多信息，请在此处观看会议

ZOOM 集成播放列表

Answer 3

如果您的后端需要对某些外部 API 进行 API 调用（例如在您的情况下进行缩放），最好的方法是将所有 API 调用（如果没有，甚至可以进行 SDK 库）抽象为 singleton class。

这意味着您可以在此 class 中编写逻辑以在您的应用程序中始终拥有它的一个实例，因此您可以将该令牌存储在该实例中。 但是，您可能还需要实施错误处理程序，因为 JWT 访问令牌通常会在一段时间后过期，因此您需要处理 401 错误，当它们发生时您需要获取新令牌。

希望这可以帮助。