Microsoft Identity 平台場景中 access_token 和 refresh_token 的大小是多少，如果合理，是否應該存儲在數據庫中？

Question

我們的應用程序需要將 access_token 和 refresh_token 存儲在數據庫中，但是當我們將大小與 Salesforce 的相同令牌進行比較時 - 它要大得多：MS 2150 字符中的 access_token 與 SF 112 字符中的 access_token（刷新令牌的比率相似）。 我們正在使用代表流程： https : //docs.microsoft.com/en-us/azure/active-directory/develop/v2-oauth2-on-behalf-of-flow我的理解是 OAuth2 規范不會指定令牌的大小，它對實現開放。 問題是基於 cookie 的存儲是否不是首選，或者對於自定義應用程序需要使用數據庫訪問/刷新令牌序列化的情況 - 長度/大小不是問題或限制嗎？ 謝謝

Answer 1

AAD 令牌沒有已知的大小限制。