OAuth 2.0.没有会话？(无国籍)

Question

我将用它实现OAuth 2.0和REST API

为每个用户授予不同的权限,并且还可以很好地扩展.

为了更好地扩展,无国籍更容易,因为有

没有文件,数据库,基于内存的会话.

---

以下是我对OAuth 2的理解.

1. OAuth服务器为用户提供访问令牌.
2. 用户的访问令牌存储在cookie中.
3. 当用户访问REST API时,用户使用访问令牌发送.
4. 服务器接收带访问令牌的请求.
5. 服务器查明访问令牌是否有效以及用户是否有权请求.
6. 根据用户的权限做或拒绝.

---

所以我不必担心会话存储.对？

Answer 1

你在这里描述的是OAuth 2 Implicit Grant流程.OAuth 2还包括其他三个流程,但由于您的资源所有者(用户)似乎正在使用浏览器端Javascript(您正在讨论cookie)发起请求,因此这是您应该采用的流程.

在客户端,OAuth只要求您存储access_token用于访问受保护的资源(refresh_token如果您要过期,则需要存储access_token).