在Cookie中存储OAuth令牌是不是很糟糕？

Question

在Cookie中存储OAuth 2令牌是不是很糟糕？如果是这样,什么是Web应用程序的替代品？

Answer 1

是否可以在cookie中存储access_token取决于以下内容:

1. 是否加密存储在cookie中的access_token(肯定应该是)
2. Access_token是一个承载令牌,因此它不依赖于浏览器流.Cookie通常用于维护浏览器中的状态.因此,如果令牌的生命周期与cookie相同,则继续,否则不行.当我说生命周期时,我指的是生命周期等.
3. 此外,请考虑这一事实,即访问令牌不是身份令牌
4. 访问令牌完全是客户端,而服务器通常使用cookie来维护会话,主要是维护匹配的服务器端会话.

我希望这有帮助.

Answer 2

我绝对不会这样做。当涉及安全时，您不应该将东西存储在其他人可以访问的地方。所以不要把它存储在任何地方，尤其是客户端。

话虽如此，如果处理得当，这本身并不是坏习惯。见这一下全面的文章。

Answer 3

Cookie 的最大大小为 4kb。因此，如果您在令牌中保存大量信息 - 您将会收到错误。