安全地存储OpenID标识符和OAuth令牌
安全地存储OpenID标识符和OAuth令牌是一个重要的安全问题，因为它们可以用来识别用户身份和授权应用程序访问用户的资源。为了确保这些令牌的安全存储，可以采用以下方法：
- 使用安全的加密算法：使用安全的加密算法，如AES或RSA，对令牌进行加密存储。这样，即使数据库被攻击者窃取，攻击者也无法轻易访问用户的敏感信息。
- 使用安全的存储方式：将令牌存储在安全的存储方式中，如加密的数据库或加密的文件系统中。这样，即使攻击者获得了存储位置，也无法访问令牌。
- 限制对令牌的访问：只允许经过身份验证和授权的用户和应用程序访问令牌。这可以通过设置访问控制策略和使用访问令牌来实现。
- 使用最新的安全漏洞修复：定期更新应用程序和服务器软件，以修复已知的安全漏洞。这样可以确保攻击者无法利用这些漏洞来窃取令牌。
推荐的腾讯云相关产品：
- 腾讯云MySQL：一个安全可靠的关系型数据库，可以用来存储和管理用户的OpenID标识符和OAuth令牌。
- 腾讯云COS：一个安全可靠的云存储服务，可以用来存储和管理用户的OpenID标识符和OAuth令牌。
- 腾讯云SSL证书：一个安全可靠的SSL证书服务，可以用来保护应用程序和用户之间的通信安全。
产品介绍链接地址：
相关·内容
5回答
我正在创建一个网络应用程序，将使用OpenID登录和OAuth令牌与Youtube。我目前在数据库中以纯文本形式存储OpenID身份和OAuth令牌/令牌秘密。
将这些值存储为纯文本是否不合适？我可以对OpenID标识符使用单向加密，但我不知道是否有必要这样做。对于OAuth令牌，我需要使用双向加密，因为我的应用程序在
浏览 1提问于2009-12-10得票数 60
回答已采纳
在openidConnect中，如果我们使用"openid“作为作用域来调用userinfo端点，那么预期返回的声明是什么？当我们使用单个作用域"openid“时，"email”、"email_verifed“可以返回吗？
浏览 1提问于2016-07-13得票数 2
回答已采纳
我使用的是DotNetOpenAuth v3.5.0.10357，每次用户在Facebook上进行身份验证时，我都会得到一个不同的声明标识符。令牌看起来是加密的，所以我假设DNOA以某种方式加密了令牌和过期。有人能证实这一点吗？
浏览 2提问于2011-09-23得票数 2
回答已采纳
我正在尝试学习更多关于使用OAuth2的微服务身份验证的知识。下一个问题:我是否可以创建一个30天后到期的令牌，或者说这被认为是一种糟糕的做法？我假设AP
浏览 0提问于2016-07-30得票数 0
回答已采纳
1回答
OAuth2.0用例
、、、、
从我所研究的情况来看，我认为需要建立基于OAuth2.0的认证系统和使用JWT tokens的承载令牌。在阅读了大量关于OAuth2.0如何构建OAuth2.0服务器的文章之后，我仍然对didn't understand full concept of OAuth感到困惑，也不清楚我是否需要它，或者我是否需要其他身份验证系统我的系统需要的是，我们将向所有客户提供一个SDK，每个客户端都有一个Application Id和a secret key，使用SDK将连
浏览 3提问于2016-05-02得票数 1
回答已采纳
有人能解释一下OAuth2有什么好处吗?为什么我们要实现它？相反，OAuth2带来了授权请求、访问令牌和刷新令牌，你必须在会话开始时发出3个请求才能获得你想要的数据。即使这样，当令牌过期时，您的一个请求最终也会失败。要获得另一个访问令牌，请使用与访问令牌同时传递的刷新令牌。从安全的角度来看，这会使访问令牌变得无用吗？OAuth认为这不是100%的安全，而是发布和完成它。从提供商的角
浏览 135提问于2011-09-27得票数 274
回答已采纳
2回答
我正在创建Angular单页应用程序，我想使用带有OAUTH 2.0的JWT (JSON web tokens)。我正在阅读最佳实践，并找到了应该对它有帮助的的OAuth 0文章。我知道在浏览器中存储访问令牌60天是不太安全的，建议使用短期访问令牌。因此，我在考虑使用刷新令牌并将其存储在HttpOnly安全Cookie中，以禁止从客户端Javascript读取它，但在这篇auth0文章中，他们说这非常不安全，SPA不应该使用刷新令牌，但他们没有说明原因
浏览 1提问于2017-09-18得票数 2
每个应用程序都将从auth服务器获得一个访问令牌，然后将其提供给API，用户将在auth服务器web界面(用于第三方应用程序)或直接在网站或应用程序(用于“受信任”应用程序)上输入他们的凭据。我已经开始通过OAuth 2实现它，它与我的用例完全匹配。但是后来我在网上发现了一些讨论，让我思考我的场景是否真的需要OpenID连接，而现在，在读了几千字之后，我仍然无法确定哪一个更适合我的情况。(例如，GitHub与我的用例使用 OAuth 2基本匹配)
我想听听关于如何选择一个人的API是需要OAuth 2还是
浏览 0提问于2015-07-26得票数 37
回答已采纳
1回答
我很少读到关于安全性和RESTful API的文章，但我仍然不清楚其中的一些内容。正如我在第一步所理解的，用户必须向服务器提供他的凭据。在此之后，服务器必须验证用户凭据，如果它们是有效的，则向用户发送一些编码的令牌(假设这将是用户keyuser IPtoken创建时间)。用户身份验证之后，客户端必须将此密钥与每个API调用一起发送。使用这种解决方案，我假设令牌可以被窃取，而另一个用户可以访问安全的用户数据(即使包括IP来访问令牌，并且对每个请求都会进行验证)。为此，我计划包括令牌创建时间，但据我所知，在这
浏览 0提问于2014-01-30得票数 2
回答已采纳
1回答
我正在将OpenID 2.0迁移到OAuth 2.0登录(参见)。我希望将新的OpenID 2.0标识符映射到旧的/现有的OpenID连接标识符，这是我在数据库中拥有的。在处理OAuth响应(redirect_uri)时，我希望使用端点，将授权代码交换为访问令牌和openid_id字段，我将使用它们来选择DB中的现有用户。
但是，我对的调用返回“not”。Google2Api.class).apiKey(x
浏览 4提问于2015-01-31得票数 2
回答已采纳
1回答
我已经构建了一个web应用程序，允许用户通过OAuth 2.0登录谷歌和Facebook。我实际上在Google App Engine上使用了项目。在我的数据库中，我存储了他们的OAuth ID，这对于谷歌来说是这样的：
https://www.google.com/accounts/o8/id?
浏览 0提问于2013-07-22得票数 0
回答已采纳
2回答
我根据OAuth2实现了注册工作流(用Java语言)
是为用户(与OAuthToken一起)发出由我的应用程序生成的令牌，还是只使用OAauth提供程序发出的令牌？(我的应用程序也有本地的无记名代币)。此令牌将用于进一步的API
浏览 10提问于2017-04-01得票数 1
1回答
我正在处理一个项目，其中我有一个使用React的前端构建，它连接到一个使用API平台的API构建，并使用一个实现oauth2和OpenID协议(Keycloak)的外部用户提供者。我认为我可以将API platform配置为oauth2客户端(通过oauth配置部分，但我不确定它是oauth客户端还是服务器)，但我还需要从OpenID服务器获取用户信息，以存储有关创建实体的用户(或者最好不要使用API平台，而是实现自己的API连接到OpenID
浏览 0提问于2019-07-31得票数 4
1回答
我们想做的认证和授权与谷歌在我们的网站上提供的服务。可以通过OpenId混合扩展将OAuth 1.0合并到OpenId中。我们能在OAuth2.0上实现同样的功能吗？(使用OpenId身份验证执行OAuth2 )
浏览 2提问于2011-04-14得票数 0
回答已采纳
1回答
现在，一旦他们签署，我希望他们能够访问他们的雅虎联系人，通过OAuth。我正在通过工作，只是卡住了。
我有消费者的密钥，消费者的秘密，应用的ID，和回调的URL是相同的页面，使用离开。访问雅虎登录页面似乎很好，用户带着auth_token和auth_verifier回到我的站点。我该怎么处理这些？我需要为将来的请求存储哪些字符串？对于这类请求，是否有很好的示例代码？谢谢。
浏览 3提问于2010-09-29得票数 1
我正在构建一个Java应用程序，它需要访问用户的Google数据，因此我认为OAuth/OpenID混合模式是最好的选择。PS: GAE不是一种选择
有什么想法吗？
浏览 4提问于2010-11-01得票数 7
回答已采纳
我们正在尝试从OAuth 2.0迁移到OpenID 2.0登录(OpenID连接)我们遇到的问题是，在ID令牌请求中，openid_id是未返回的。第一次认证请求：'access_token' => 'accesstoken&#
浏览 0提问于2014-07-07得票数 2
使用auth0.com进行的实验表明，使用.AddOAuth()的代码能够作为HttpContext.GetTokenAsync("access_token")的结果获得访问令牌，但是如果是HttpContext.GetTokenAsync两者的配置是相等的： {
o.AuthorizationEndpoint = "https://<audience=resourceAPI
浏览 0提问于2020-01-28得票数 4
回答已采纳
1回答
我们有三个微服务: microA、microB和microC。
例如，在服务microA上，我们存储用户OpenID XXX可以这样那样做。当用户使用OpenID登录product1时，我们将访问令牌授予用户+ Id
浏览 2提问于2016-06-28得票数 3
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
