Где и стоит ли хранить данные авторизации через OAuth2 и откуда их брать при следующих запросах?

Question

[Eugene Vdovenko]

Есть сервер API, на котором крутится BShaffer OAuth 2 Server (https://github.com/bshaffer/oauth2-server-php).
И есть веб-приложение, которое использует OAuth2-клиент от PHP League (https://github.com/thephpleague/oauth2-client).

Пользователь логинится в веб-приложении, используя форму логин/пароль. Я засылаю из в oauth2-сервер, обратно получаю access_token, refresh_token, expire.

Допустим, access_token я могу сохранить в сессии. Ну, может expire еще. Но хранить там refresh_token что-то не очень хочется ибо слишком не секьюрно.

Может кто подсказать, как проверить корректность access_token, refresh_token и expire при, например, следующем запросе к API? И как обновлять access_token если не хранить refresh_token? Поделитесь опытом реализаций, плиз.

Answer 1

[Stalker_RED]

Хранить в базе данных, или спрашивать у пользователя пароль снова и снова.

Answer 2

[Максим Тимофеев]

В бд к данным юзера

Answer 3

[Eugene Vdovenko]

Ну, oauth2-сервер, ясное дело, может в БД залезть. А вот приложение доступа к базе не имеет. Приложению доступны localstorage, cookie и, может быть, session. Ну, чисто теоретически, можно поставить memcache. И то, не очень бы хотелось приложение привязывать к бэкэнду. Т.е. по сути имеем для хранения/получения информации: локальное хранилище, куки и запросы к API, пока действует токен доступа.

Чтобы не спрашивать пароль снова и снова - я храню в сессии access_token. Однако, любой пользователь с этой сессионной кукой получит доступ к access_token. А если там же хранить еще и refresh_token - пользователь получает нелимитированный по времени доступ к API. Что в общем-то не очень хорошо.

Comments

[Андрей Дегтярук]

> Однако, любой пользователь с этой сессионной кукой получит доступ к access_token

Для этого придумано время жизни access_token. По-моему, хранение токена в сесии - стандартная практика.

[Eugene Vdovenko]

Андрей Дегтярук: Ок. У меня есть landing page, с которого данные засылаются в API. access_token допустим 1 час, refresh_token - неделя. Что делать со страницами, на которые заходят раз в полгода?