應用程序如何安全地存儲刷新令牌？

Question

我遇到了 CodeSandbox GitHub 應用程序 ( https://codesandbox.io/blog/introducing-the-codesandbox-github-app ) 並注意到它的核心功能之一是能夠評論拉取請求。 這讓我開始思考這些類型的應用程序用來代表用戶訪問 GitHub API 的方法。 我推測這些應用程序很可能持有refresh tokens ，作為代表我們進行 API 調用的一種方式。 這促使我詢問在服務器端存儲refresh tokens的最佳實踐。 加密/解密是否是將它們存儲在 Redis 等數據庫中的可行選擇？

Answer 1

加密是將刷新令牌存儲在數據庫中的可行選項，例如 Redis。當令牌被加密時，它們將作為密文存儲，沒有加密密鑰的任何人都無法讀取。 使用安全的加密算法並將加密密鑰與應用程序的 rest 分開是很重要的。