从 Rails 应用程序调用 API 时，应将令牌存储在哪里？

Question

我正在编写一个库来调用第三方 API，以便 Rails 应用程序可以使用它。为了进行身份验证，API 最初使用基本身份验证来返回用于所有其他请求的令牌。令牌的有效期为 1 小时，并且可以使用相同的基本身份验证凭据获取多个令牌，而不会使任何其他令牌失效。

这是我到目前为止所拥有的精简版本：

# frozen_string_literal: true

require "rest-client"

class AcmeClient
  ACME_API_URL = Application.secrets.acme[:url]
  ACME_API_KEY = Application.secrets.acme[:key]
  ACME_API_SECRET = Application.secrets.acme[:secret]

  def health_check
    url = ACME_API_URL + "api/health"
    token = fetch_token
    RestClient.get url, { Authorization: "Bearer #{token}"}
  end

  private

  def fetch_token
    url = ACME_API_URL + "/api/token"
    response = RestClient::Request.execute(
      method: :post,
      url: url,
      user: ACME_API_KEY,
      password: ACME_API_SECRET,
      payload: "grant_type=client_credentials"
    )
    JSON.parse(response.body)["access_token"]
  end
end

我已将该health_check方法作为可用 API 端点的示例。

之前只使用现有的 gem 来调用 API，我不确定如何处理返回的令牌。我不想在每次 API 调用之前获取一个新的，因为这似乎不必要地过多，所以我猜将它存储在某个地方是有意义的。

在这种情况下，是否最好创建一个acme_tokens包含token和expires_at列的数据库表，然后在每次新的 API 调用之前检查到期时间？

或者，由于对 API 的调用将由 Rails 应用程序前端的用户操作引发，我应该将令牌存储在会话变量中吗？

提前致谢！

Answer 1

所以，我认为您可以使用rails 低级缓存来存储令牌。修改你的fetch_token方法如下：

  def fetch_token
    Rails.cache.fetch("#{cache_key_with_version}/my_api_token", expires_in: 1.hour) do
      url = ACME_API_URL + "/api/token"
      response = RestClient::Request.execute(
        method: :post,
        url: url,
        user: ACME_API_KEY,
        password: ACME_API_SECRET,
        payload: "grant_type=client_credentials"
      )
      JSON.parse(response.body)["access_token"]
    end
  end

它会在缓存处于活动状态时返回您的令牌，并在缓存过期时请求新的令牌。此外，您需要在开发/生产环境中配置您的 cache_store。