为什么刷新令牌要保存在服务器端？
刷新令牌是用于在访问令牌过期后获取新的访问令牌的一种机制。刷新令牌通常具有较长的有效期，用于保证用户在一定时间内可以持续访问资源。
刷新令牌需要保存在服务器端的主要原因有以下几点：
- 安全性：将刷新令牌保存在服务器端可以提高安全性。如果刷新令牌保存在客户端，那么一旦客户端被攻击或者被恶意软件侵入，攻击者就可以获取到刷新令牌，并利用该刷新令牌获取新的访问令牌，进而访问用户的敏感数据。而将刷新令牌保存在服务器端，可以减少这种风险，因为攻击者无法直接获取到服务器端的数据。
- 控制权限：服务器端保存刷新令牌可以更好地控制用户的权限。通过在服务器端验证刷新令牌的有效性，可以对用户进行身份验证和授权，确保用户只能访问其具有权限的资源。如果刷新令牌保存在客户端，那么客户端可以随意使用刷新令牌获取新的访问令牌，从而绕过服务器端的权限控制。
- 管理和监控：将刷新令牌保存在服务器端可以更好地管理和监控用户的访问。服务器端可以记录和跟踪每个刷新令牌的使用情况，包括谁使用了刷新令牌、何时使用了刷新令牌等信息。这些信息对于监控用户行为、审计和故障排除都非常重要。
总结起来，将刷新令牌保存在服务器端可以提高安全性、控制权限、管理和监控用户的访问。这样可以有效地保护用户的数据和资源，确保系统的安全性和可靠性。
腾讯云提供了一系列与身份认证和访问管理相关的产品和服务，例如腾讯云访问管理（CAM），用于管理和控制用户的访问权限。您可以通过以下链接了解更多信息：
腾讯云访问管理（CAM）：https://cloud.tencent.com/product/cam
相关·内容
1回答
我知道访问令牌(通常)不会保存在服务器端，而只是使用一些密钥和算法进行验证。然而，似乎正常的行为是在服务器端(i.e:database)保存刷新令牌，并在用户尝试刷新其访问令牌时将其与用户的进行比较。我的问题是，为什么不像验证访问令牌一样验证刷新令牌呢？
浏览 17提问于2019-07-25得票数 0
回答已采纳
1回答
客户端- If我们将刷新令牌保存在“本地存储”中，而黑客获得此令牌，他/她将永远有权访问用户帐户(即使刷新令牌已经过期，黑客也可以刷新访问和刷新令牌)。服务器端-如果我们将刷新令牌保存在数据库中，如何实现多个身份验证。如果我们用字段例如创建表。“UserId”、“RefreshToken”、“ExpireDate”并为单个用户保存几个刷新</em
浏览 1提问于2018-08-23得票数 3
回答已采纳
到目前为止，我必须每3600秒手动更新一次授权令牌。下面是我在aspx.cs文档中运行的代码。BackColor = "LightGray" ForeColor = "Black" Enabled = "true"/></html>
代码工作，我只需要一个刷新令牌
浏览 14提问于2018-02-23得票数 0
1回答
刷新令牌的好处是什么？
、、、、
我正在学习无状态jwt身份验证的概念，并在nodejs服务器端实验该流程的实现。
人们说，刷新令牌更安全，但我不知道为什么。您可以将访问令牌和刷新<
浏览 1提问于2020-06-21得票数 0
1回答
我有授权的web api，并且我已经实现了JWT刷新令牌安全性，一切工作正常。当我输入有效的密码和用户名时，它会响应我返回accesstoken和refeshtoken。所以问题是，当我请求令牌时，我会拿回令牌，令牌会在1天后过期，但当我更改用户凭证(如密码和角色)时，即使使用旧令牌发送请求，我也会保持身份验证，或者系统允许我访问资源。Configuration.GetConnectionString("CodeFactoryAPI")));
浏览 4提问于2021-03-12得票数 0
2回答
这就是我要面对的。目前，刷新令牌存储在httpOnly cookie中，在每次单点登录时，我们刷新令牌并将整个响应发送给浏览器，访问令牌只保存在内存中，然后浏览器会继续更新它。当我们有两个选项卡时，问题就出现了，访问令牌将不同步。初始选项卡的访问令牌将不可用。要解决这个问题，我们可以使用localStorage来同步令牌，或者使用非httpOnly cookie来存储访问令牌。或者
浏览 45提问于2019-12-05得票数 0
1回答
我想使用我的刷新token.So通过javascript获取访问令牌，这是我的代码： type: "POST",
contentType
浏览 3提问于2013-12-11得票数 1
1回答
我正在使用IdentityServer4在.Net Core2.0中，并且正在成功地生成访问令牌和刷新令牌。在生成刷新令牌时，我只需要在服务器端“看到”它，这样我就可以将它保存在数据库中，以达到某些特定的目的。
在服务器上生成刷新令牌时，如何访问它的值？
浏览 1提问于2018-01-15得票数 1
1回答
在谷歌的文章中，建议在服务器端存储OAuth刷新令牌。在文章末尾有一句话：
1)它是否适用于，所以我是否应该将它们保存在Android中，而不是为每个与服务器同步的会话调用GoogleAuthUtil.getToken()？
2)存在多
浏览 1提问于2015-01-13得票数 0
回答已采纳
1回答
关于刷新令牌的几个问题
、、、、
当我使用jsonwebtokens时，我有一些关于使用和刷新令牌背后的原因的问题(非常混乱)。
第一，为何要这样做呢？我完全理解关于用于获取新访问令牌的短暂访问令牌和长寿命刷新令牌的全部情况，但我觉得刷新令牌仍然是脆弱的，甚至可能比正常的访问令牌更易受攻击。其次，我听到人们谈论资源服务器是如何关心访问令牌的，授权服务器是如何关心刷新令牌的。但是我有一个服务器，只是
浏览 3提问于2021-10-04得票数 2
在服务器端的应用程序购买验证中，我一直在使用Google刷新/访问令牌。
刷新令牌时，我将得到一个新的访问令牌，有效期为3600秒。为什么我不能在需要的时候重新请求一个新的访问令牌，而不是存储和重用它呢？
浏览 0提问于2018-05-22得票数 0
回答已采纳
我在客户端对用户进行身份验证，没有离线访问作用域(因此没有刷新令牌)，并且在客户端执行大多数操作。但是我想在服务器端执行一些操作(仍然是代表经过身份验证的用户)。目前，我正在将访问令牌传递到服务器端(通过https)，在服务器端使用该令牌初始化Google库，并在那里执行操作。我在Google上找到的关于这方面的文档要么是在服务器端使用身份验证，要么是使用刷新令牌，或者完全在客户端。找不到建议此混合情况的最佳实践的文
浏览 6提问于2019-04-16得票数 2
当用户登录时，我将该用户的访问和id令牌存储在httpContextAccessor.HttpContext.Request.Cookies.中
这一切都运行得很好，我可以访问任何页面上的令牌，我注入了
浏览 8提问于2020-11-08得票数 0
在我读过的大多数示例中，我看到有人提到，当服务器返回401时，客户机应该到达jwt刷新端点，以某种方式传入刷新令牌(即作为cookie)，然后继续使用新的JWT令牌。我无法理解为什么当服务器无法验证(或接收)过期的JWT时，服务器端不能自动发生这种情况，前提是它具有刷新令牌。我有什么安全隐患吗？
这假设在每个请求中发送刷新令牌是可以的。假设HTTPS正在使用，令牌被存储并作为cookie发送，这会引
浏览 0提问于2020-12-23得票数 0
登录成功后，我们将令牌保存在web浏览器内存的本地存储中，然后从应用程序注销，只需将令牌从浏览器内存中删除即可。我们可以阻止用户通过应用程序访问应用程序，但如果有人拥有令牌，他可以使用postman和其他api测试工具访问端点。我们如何克服这个problem.Is ?有什么方法可以手动删除令牌或使令牌过期？
浏览 21提问于2019-07-10得票数 2
回答已采纳
我正在尝试创建一个身份验证流，其中用户的访问令牌与刷新令牌一起保存在服务器端会话中，并且当令牌过期时，如果会话仍然有效，则更新该令牌。如果不存在，请重定向到重定向到Azure的/auth，当我返回时，我有一个有效的令牌存储在会话中。
如果令牌验证失败，并且会话上有
浏览 3提问于2018-06-18得票数 10
回答已采纳
1回答
当用户从基于会话的站点注销时，是否应该刷新其相应的反csrf令牌(存储在会话中)？
如果令牌应该刷新，那么为什么要特别刷新？哪些可能的漏洞会导致抗CSRF令牌不刷新？
浏览 0提问于2019-12-18得票数 0
看来我还不太明白刷新令牌背后的想法。
假设使用了短活访问令牌。此令牌可能会被窃取，允许攻击者访问重新来源，直到它测试(可能3600秒)。但是，如果他也设法窃取刷新令牌(应该不会比访问令牌受到更多的保护，对吧？)他不能简单地获得一个新的访问令牌吗?因为当有人拥有一个刷新令牌时，不需要任何身份验证来刷新访问令牌吗？
浏览 0提问于2017-06-14得票数 14
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
