了解访问令牌和刷新令牌的安全性

Question

基于这篇文章和这个问题，刷新令牌应该是长寿命的，访问令牌应该是短寿命的。我将存储我的刷新令牌超过或等于60天，我的访问令牌20分钟或更多/更少，但永远不会超过一个小时。

我在理解这些令牌的使用时的主要难点是两个令牌的存储方法。我明白，我应该将刷新令牌存储为httponly，使其无法通过脚本访问（XSS攻击），并将访问令牌存储在本地，localstorage或sessionstorage，以便在API调用中作为密钥使用。这样做是正确的方法吗？我是否应该按照本文中的建议进一步加密刷新令牌？任何见解都将不胜感激，感谢阅读。

Answer 1

首先，您需要了解，一旦攻击者掌握了受害者用户代理（浏览器），您绝对无法阻止令牌的提取。没有加密会有帮助。您需要在客户端的某个地方保存加密密钥，这使得加密的整个想法毫无意义。有时人们被迫加密这样的东西，因为他们希望他们的小姐妹无法访问，或者因为大公司有愚蠢的政策，你必须遵守。

我看到您愿意在cookie中保存刷新令牌。没关系，只要确保你把正确的配置放在适当的位置就行了。这个演示应该会有帮助。

最后一句忠告。会话安全不仅仅是关于会话安全。您还需要做TLS、数据消毒和访问控制。如果您忘记了TLS，那么任何令牌存储策略都无济于事。