在数据库中存储和维护JWT刷新令牌的最佳策略？

Question

>

如果刷新令牌过期，这意味着用户将定期注销，这从业务角度来看是非常不希望的，这可能会损害用户的保留。是否有一种方法可以在不削弱安全性的情况下避免这种情况，例如使刷新令牌成为“永恒的”？

存储和清理刷新令牌表以防止未使用的令牌积累的最佳方式是什么？假设我有以下表结构:user_id、device_id、refresh_token。如果策略是永远不会使刷新令牌过期，则使它们无效的唯一方法是当用户注销时。但是，用户也可以删除应用程序，丢失或损坏设备，或者因为任何原因更改他们的device_id。我能想到的一个解决方案是使用refreshed_at时间戳，这将允许令牌失效，比如说在几个月不使用之后。还有其他已知的把戏吗？

假设我在刷新访问令牌时除了刷新令牌之外还使用了共享秘密字符串，我的理解是否正确，如果所有3个都被破坏（访问令牌、刷新令牌和共享秘密），我对此无能为力？refreshAPI调用的最佳实践是什么？

Answer 1

永恒刷新令牌确实会增加风险。为了抵消这一点，可以削弱刷新期间发出的令牌。为此，可以在作用域上设置过期时间。然后，随着刷新的发生，新令牌的作用域越来越少。稍后，如果用户试图做一些高风险的事情，他们将不得不再次登录并证明对其原始凭据的控制。我想生意可能会接受这个。（关于这个想法的更多信息可以在这里找到。）

保持refreshed_at的想法可能是避免刷新令牌表永久增长的方法。如果用户确实注销了，难道不能删除刷新令牌吗？会有一些注销endpoint，所以在它后面进行清理。这样，您的refreshed_at只适用于夹缝中的内容。

我看不出秘密字符串有什么帮助。它本质上是另一个“令牌”，所有都是承载令牌，所以我会跳过这个。有关保护刷新流的威胁的更多信息，请查看RFC6819的第4.5节。此外，检查OAuth security BCP的4.12节（这只是一个RFC）。