重用OAuth访问令牌

Question

在我的网站上，我打算为用户提供通过OAuth进行身份验证的功能。 我不想让他们先向我注册，然后再连接一个外部帐户； 我想提供单点登录。

我相信我们应该重用访问令牌； 当然在会议期间，甚至在会议之间。

谷歌甚至宣称他们将每个应用程序的每个用户的访问令牌数量限制为10个 。 （显然Google仍然支持OAuth1，但现在建议使用Auth2）10是一个很小的数字。

使用cookie（ 这样 ）似乎是识别会话之间用户的好计划，但是对于用户已删除cookie或从新计算机连接的情况，我遇到了麻烦。

在为他们请求另一个访问令牌之前，如何知道用户是谁？ 请求令牌不包含用户ID，对吗？

谢谢

Answer 1

无论选择哪种协议和提供商，都必须维护自己的用户帐户。 您从提供者那里获得的令牌（对于OpenID，则为URL）对于给定用户而言是唯一的，您应该将其与内部用户帐户相关联，并由此识别用户。

如果您不想提供任何注册UI，也可以：只需获取令牌，从提供商处检索所需的所有用户信息，并将所有这些信息存储在数据库中的某个位置。 您还必须为用户发布和识别您自己的cookie，否则，每次他们访问您的网站时，他们将被迫通过提供商身份验证。