Где лучше хранить access token oauth?

Question

[Twitt]

где лучше хранить access token?
Например, вот когда надо работать с фейсбук api, чтобы слать реквесты в их эндпоинты нужен аксес токен. Откуда они знают, что тот токен, что я ввел - он действителньо верный? Он в их случае хранится где то в бд? Или нет постоянной практики, где хранить токены? Можно в бд, в кэше, и в других хранилищах и это дело вкуса?

Answer 1

[JhaoDa]

Откуда они знают, что тот токен, что я ввел - он действителньо верный? Он в их случае хранится где то в бд?

Не пофигу ли, он хранится у них?

Если это токен на действия в рамках какого пользователя Фейсбука, который зареган в твоей системе, то логично хранить токен вместе с пользователем, т.е. в БД, видимо.

Если это общий токен для приложения, то хранить можно в .env-файле (или каком-то другом хранилище, но .env уже практически стандарт).