存儲來自多個提供商的訪問和刷新令牌？

Question

假設我允許我的用戶連接到 Facebook、Instagram、Pinterest 和 Twitter，這樣他們就可以使用他們的 API。 因此，我獲得了所有這些提供商的訪問令牌。

根據我的閱讀，我現在傾向於將它們存儲在一個僅限 http 的 cookie 中。

但是，如果有 4 個訪問令牌，是否意味着所有 4 個訪問令牌總是在每次請求時發送？

這里的安全方法是什么？ 還是在這種情況下我根本不會將它們存儲在客戶端上？

Answer 1

這取決於您的解決方案的確切架構。 如果您有后端，並且您的后端調用這些 API，那么您可以將這些令牌保留在后端。 它們根本不必保留在前端。 如果您的前端需要這些令牌（例如，它直接調用這些 API），那么您必須將令牌保存在那里，並且它們必須可以被您的前端應用程序讀取（因此它們不能存儲在僅 HTTP 中曲奇餅）。

我會努力讓瀏覽器中沒有任何令牌。 最好將它們保留在后端。