存儲通過客戶端憑據oauth2流獲得的訪問令牌

Question

在機器對機器的oauth2令牌安全通信的上下文中，我想知道如何將訪問令牌存儲在后端應用程序上以供進一步使用（直到令牌過期）？

訪問令牌是從授權服務器通過client_credentials oauth2流獲得的，用於在資源服務器上進行授權調用（代表客戶端）

將訪問令牌存儲在客戶端上以便可以用於對資源服務器進行進一步調用而不為每次調用請求新令牌的最佳實踐是什么？

Answer 1

在客戶端存儲不是最好的開始方式。 但是，如果要執行此操作，則也應該使用CSRF令牌將該令牌添加到安全cookie中，這樣就不能以其他形式提取訪問令牌。 另外，如果在您認為還可以的時間內未使用令牌，則設置超時是個好主意。