Come gestire OAuth2 refresh_token per l'accesso senza sessione?

Question

Come gestire OAuth2 refresh_token per l'accesso senza sessione?

#1 da (1 voti)

2

Sto lavorando su un'app sessionless a pagina singola con accesso OAuth2 e una casella di controllo "Ricordami". Quando l'utente controlla "Ricordami" all'accesso, memorizzo il token di aggiornamento in LocalStorage per 30 giorni. Ci si sente un po 'insicuri di lasciarlo lì fino a quando l'utente non si registra nuovamente. Qual è la migliore pratica per persistere i token di aggiornamento in un ambiente senza sessione?

oauth local-storage session-management

posta jwerre 27.02.2017 - 20:59

fonte

1 risposta

Leggi altre domande sui tag oauth local-storage session-management

È stato reindirizzato da MS Outlook a un sito di phishing. Hai bisogno di un'opinione indipendente sul fatto che il mio computer sia o meno compromesso Come viene autorizzato un utente senza autenticazione

score 1 · Answer 1

Se vuoi garantire che rimarranno loggati per 30 giorni, questo è il modo più sicuro per farlo. E sì, non è affatto sicuro. È una decisione di usabilità / sicurezza che dovrai prendere in base al rischio. Puoi fare qualcosa come crittografarlo ma dovresti memorizzare la chiave nella memoria locale, quindi non è più sicuro.