正确存储 Google OAuth 访问令牌

Question

我即将开始使用Google 的日历 API，我要求访问我的用户的日历。在php 文档示例中，令牌存储在文件（token.json）中，但在我的情况下，每个用户都可以有一个访问令牌，所以我想将其存储在用户的数据库表中。

• 将其存储在数据库中安全吗？
• 存储之前需要加密吗？

Answer 1

访问令牌将在一小时后过期。没有理由将访问令牌存储在数据库中。您应该存储的是刷新令牌。您的应用程序可以使用刷新令牌来根据需要请求新的访问令牌。

建议存储 token.json 的内容，以方便向 php clinet 库提供该对象。通过替换file_get_contents($tokenPath)为从数据库中读取之类的内容。

• 将其存储在数据库中安全吗？

在数据库中存储令牌是标准的 prosecure。应该是安全的。任何入侵您数据库的人都需要您的客户端 ID 和客户端密钥，才能使用存储在其中的刷新令牌请求新的访问令牌。

• 存储之前需要加密吗？

你可以，但说实话，我不打扰。