Dovresti creare un tuo id per l'utente e usarlo per richiedere i token dal server ID.
Se memorizzi quei token in più servizi, avrai più aggiornamenti da aggiornare sulle scadenze e altre modifiche di tali token. Memorizzali in un punto e fai in modo che altri servizi li richiedano.
Ciò consente anche di effettuare il controllo dell'autorizzazione su quali servizi possono accedere ai token per attività di terze parti applicando il controllo ACL sulle richieste di servizio token.
Il tuo servizio di calendario chiede un token, il servizio token dice "Ecco le informazioni di sistema di terze parti e il token per accedervi". Il tuo servizio di segnalazione richiede un token per Google Calendar, il servizio token dice "No, kthxbai" perché non dovrebbe accedere a tali informazioni. È quindi possibile controllare facilmente tutte le richieste di accesso alle risorse di terze parti da parte degli utenti, semplicemente registrando un registro di controllo dal servizio token. Questo tipo di auditing è davvero fantastico da avere per sicurezza.
Con la centralizzazione dell'archiviazione di token di terze parti a un singolo servizio, ottieni un sacco di vantaggi nel possedere tali importanti informazioni sugli utenti privati in un'unica posizione: diventa più facile da proteggere, più facile da monitorare, più facile da mantenere aggiornato, più facile per pulire le richieste degli utenti. È la soluzione migliore e ti incoraggio a monitorare con attenzione gli utenti di questo servizio per assicurarti che nessuno scriva client che mantengono o memorizzano localmente tali informazioni. In alternativa, rendere il servizio token come un proxy di richiesta in modo che il token non sia reso disponibile anche esternamente. In ogni modo, però, tieni i token privati in un unico posto (crittografati! Protetti! Non eseguire il backup!).