代码之家 › 专栏 › 技术社区 › Hammerbot

对OAuth 2使用Json Web令牌

oauth-2.0 security

Hammerbot · 技术社区 · 8 年前

我正在尝试用OAuth 2构建一个授权和身份验证系统,我对不同字符串的生成有一些疑问。

client_id :为了生成 客户端id ,我使用 ObjectId 来自 mongoDB ,其形式如下: 507f1f77bcf86cd799439011
client_secret :我使用由 crypto NodeJS模块
access_token :目前,我使用JWT令牌,因为我喜欢这样的原则:能够通过该令牌保存信息,并且能够在每次请求时访问资源,而无需查询身份验证服务器(无状态体系结构)。
refresh_token :我还想对这种令牌使用JWT。

问题是:在OAuth 2中使用JWT令牌是一种不好的做法吗?如果这是一种不好的做法,为什么?他们对我的 客户端id 和 client\u机密 一代

1 回复 | 直到 8 年前

Community Mohan Dere 4 年前

将JWT用于令牌是可以的(例如,Microsoft Azure使用JWT形式的令牌),只有一件事需要注意。如果您决定实施 revocation endpoint ,您必须将令牌的生存期设置为较短的时间(以便在被吊销后不会使用太长时间),或者在 introspection endpoint OAuth2服务器的。

使用 client_id ,如果 ObjectId 是MongoDb中的记录标识符,我将使用非DB生成的值。对于生成的值,如果需要使用自定义值作为 客户端id . 这不是一个有力的论点,但我认为值得考虑。

推荐文章

MaSc. H. · 大小与阵列大小

1 年前

David 54321 · 我的密码在pyinstaller.exe中安全吗?

1 年前

Duong Duc Nguyen · 如何检测Windows应用程序(.exe)是否正在向外部发送数据?

2 年前

Michael · 某些Windows客户端上的命名管道安全问题

2 年前

al ice · 具有颤振的鲁棒认证

2 年前

adamency · 是否可以从Go二进制文件的源代码中检索字符串?

2 年前

Tricotou · $.get(code_url)执行返回的代码,不使用eval(),也不将其附加到DOM。jQuery安全性失败?

2 年前

AlboSimo · PayPal Api密钥安全

2 年前

Jordan Regan · 仅在响应中保护HTTP cookie,但不保护请求

2 年前

kellerkindt · 不带查询字符串的Apache2 ProxyPass

2 年前