在 cookie 中存储 OAuth 令牌是不好的做法吗？

Question

在 cookie 中存储 OAuth 2 令牌是不好的做法吗？如果是这样，网络应用程序的替代方案是什么？

原文由 Tryingitall987 发布，翻译遵循 CC BY-SA 4.0 许可协议

Answer 1

我绝对不会这样做。当涉及安全时，您不应该将东西存放在其他人可以访问的地方。所以不要将它存储在任何地方，尤其是客户端。

话虽如此，如果处理得当，这本身并不是坏习惯。请参阅 这篇 关于它的综合文章。

原文由 TigOldBitties 发布，翻译遵循 CC BY-SA 3.0 许可协议

Answer 2

您是否可以将 access_token 存储在 cookie 中取决于以下事项：

1. 存储在 cookie 中的 access_token 是否加密（绝对应该是）
2. Access_token 是一个不记名令牌，因此它不依赖于浏览器流。 Cookie 通常用于维护浏览器中的状态。因此，如果令牌的生命周期与 cookie 相同，则继续，否则不继续。当我说生命周期时，我指的是寿命等。
3. 另外，请也考虑这个事实，即访问令牌不是身份令牌
4. 访问令牌完全是客户端的，一般使用 cookie 来维护会话的服务器，也大多维护匹配的服务器端会话。

我希望这有帮助。

原文由 dvsakgec 发布，翻译遵循 CC BY-SA 4.0 许可协议