OAuth2刷新令牌。 如何在客戶端存儲它

Question

有授權OAuth2服務器來獲取訪問+刷新令牌 。 據我所知， 訪問令牌可以存儲在客戶端 ，因為它有短暫的循環。 但是可以刷新令牌嗎？ 根據我讀過的信息，沒有安全的方法（這里）

所以，我必須實現單獨的服務器端服務，只是為了存儲刷新令牌 。

我對嗎？ 它只是存儲刷新令牌的一種可能方式嗎？

PS客戶端：angularJS

Answer 1

是的，你是對的。 如果您無法通過授權服務器進行身份驗證（即傳遞客戶端ID和密鑰），那么您將只獲得一個短期訪問令牌。

由於Angular代碼在客戶端上，因此保密客戶端是不安全的。 因此，您無法將客戶端密鑰傳遞給Auth服務器，因此無法進行身份驗證。

此外，您的服務器代碼不僅會存儲令牌，還需要托管一個接受授權代碼的端點，然后使用該代碼（以及您的客戶端憑據）調用Auth服務器以獲取令牌和刷新令牌。

在成功的用戶登錄和用戶授予對您的應用程序的訪問權限之后，auth代碼將通過來自auth服務器的調用通過http重定向提供給您的服務器端點。