使用加密算法的安全承载令牌

文章/答案/技术大牛

发布

1回答

c#、asp.net-web-api、encryption、oauth

在使用身份框架和Owin的WebApi项目中，授权和身份验证工作得很好。下一步是我想让我的持有者令牌更安全，并需要实现持有者令牌的加密和解密。加密后的字符串将在验证前在Actionfilter中解密。有什么推荐的方法可以做到这一点吗？我尝试了AES和DES的多个实现，但我正在尝试实现任何推荐的方法。

浏览 23提问于2019-01-04得票数 0

2回答

如何在服务器上安全地存储无记名代币？

oauth、storage、token、federation

在通过OAuth流成功验证第三方应用程序后，您的服务将向第三方应用程序发送一个承载令牌，用于验证(并授权)第三方应用程序(代表最终用户)使用您的服务的API。这样的承载令牌需要存储在服务器上，以便对传入的API调用执行身份验证。由于承载令牌验证(和授权)客户端，您需要安全地存储它，就像存储密码一样。但是，在将密码保存到磁盘之前，会对密码进行盐析+散列，但它们也会被

浏览 0提问于2015-07-21得票数 7

2回答

OAuth --如果刷新令牌被偷了怎么办？

oauth

看来我还不太明白刷新令牌背后的想法。假设使用了短活访问令牌。此令牌可能会被窃取，允许攻击者访问重新来源，直到它测试(可能3600秒)。但是，如果他也设法窃取刷新令牌(应该不会比访问令牌受到更多的保护，对吧？)他不能简单地获得一个新的访问令牌吗?因为当有人拥有一个刷新令牌时，不需要任何身份验证来刷新访问令牌吗？

浏览 0提问于2017-06-14得票数 14

回答已采纳

1回答

为什么我收到一个502:坏网关从AWS Lambda/Api网关，当我包括一个授权头呼叫？

amazon-web-services、aws-lambda、asp.net-core-3.1、bearer-token、http-status-code-502

Lambda是由一个API网关提供的。另一条路由需要承载令牌/countries。当我在没有承载令牌的情况下调用/countries时，我得到401:未经

浏览 4提问于2021-05-13得票数 1

1回答

Thymeleaf + Gateway + Keycloak:最佳配置

spring-boot、keycloak、spring-cloud-gateway

我的项目是：我希望使用Keycloak确保前端和后端访问： frontendkeycloak中的用户登录返回令牌，前端保存令牌，前端使用承载授权头中的令牌向网关发送请求，网关使用keycloak<code>H 118</code>检查令牌</

浏览 10提问于2022-05-28得票数 0

回答已采纳

2回答

如何改变SAML2断言的Openam加密算法？

encryption、saml、saml-2.0、openam

但默认情况下，openam使用AES-128加密。有办法改变SAML响应的加密算法吗？

浏览 2提问于2014-05-26得票数 1

回答已采纳

1回答

JWT旨在允许在客户端需要与后端通信时交换防篡改的令牌。它还通过在令牌中缓存会话数据来避免调用后端数据存储。但我可以使用标准加密算法轻松地加密会话数据，并将其发送回客户端，客户端只需在每次调用时将其返回。那么，我通过使用JWT真正获得了什么呢？如果说有什么不同的话，那就是将算法类型放在JWT中似乎是一个安全缺陷，因为它会告诉黑客使用了哪种加密，从而减少了解密令牌所需的算法类型。只需以某种专有格式(不一定是JSON)

浏览 4提问于2020-03-31得票数 0

1回答

基于HTTPS的iOS应用加密算法

ios、encryption、encoding

我只是想让我的服务器通信更安全，那么我应该使用哪种加密算法通过HTTPs发送用户名/密码/安全令牌？我经历了3DEC，BlowFish，ROT，我不确定我应该使用哪一个。我们有没有苹果遵循的标准算法，可以用于服务器通信？谢谢你的帮助，--阿米特

浏览 0提问于2012-05-15得票数 1

1回答

如何验证GCP Pub/sub订阅令牌？

asp.net-web-api、google-cloud-platform、jwt、openid-connect、google-cloud-pubsub

我们是GCP的新手。我们已经设置了一个Pub/Sub队列，该队列具有对外部web钩子(ASP.NET Web )的推送订阅，并启用了身份验证。这在HTTP调用中给了我们一个承载令牌。我不清楚是否：答:我需要首先使用服务帐户.json文件请求一个令牌，并将其与Pub/Sub在web钩子中发送的承载令牌进行比较。B.我只需要用GoogleJsonWebSignature.ValidateAsync(token,

浏览 1提问于2019-09-11得票数 2

1回答

如何用代码401或404来响应无效的承载令牌，而不是500。

go、swagger-2.0、swagger-codegen、go-swagger

我使用go-swagger创建了一个REST服务器，并向几个端点添加了承载令牌安全性。根据文档，令牌验证方法应该具有类似于func(string) (interface{}, error)的签名。如果传递的承载令牌无效，则令牌验证方法返回错误。这将产生500个对具有JSON响应体的请求者的响应： "code": 500, "mess

浏览 4提问于2021-11-04得票数 0

回答已采纳

1回答

设计Rest端点以查看承载访问令牌

rest、api、api-design、authentication

我们有几个端点，它们使用承载访问令牌进行身份验证。还有一个端点将更新/生成一个新的承载访问--传递有效的secret_id和client_id时的令牌。现在，一个客户端正在请求一个新的端点，它将为他们提供他们已经生成的承载访问令牌，作为DB在传递有效的secret_id和client_id时的响应，但是我觉得基于我过去使用</e

浏览 0提问于2019-07-26得票数 0

回答已采纳

1回答

承载令牌-双因子- ASP.NET标识

asp.net、asp.net-web-api、token、asp.net-identity、identity

我已经实现了ASP.NET标识2.0.1，我正在使用基于web的登录的双因素身份验证，我对它的使用和总体安全性非常满意。然而，对于通过WebAPI 2访问相同网站的基于移动的设备，我使用的是OAuth2承载令牌身份验证，当然也没有使用承载令牌的双因素身份验证的概念。什么是推荐的</em

浏览 3提问于2014-09-03得票数 3

1回答

HMAC 256与HMAC 512 JWT签名加密

http、authentication、encryption、jwt、digital-signature

HS256和HS512加密算法之间是否存在实际差异，或者与已经不可破解的密钥相比，较长密钥带来的额外安全性是否多余？我应该使用哪一个来加密JWT令牌？有没有可能对auth0的使用HS512加密？

浏览 0提问于2016-07-20得票数 9

回答已采纳

1回答

如何确保Laravel API (密室)的安全

javascript、laravel

我有一个有登录系统的laravel应用程序，只适用于实习生，而且我有一个网站，该网站可以通过api从laravel应用程序获取和发布数据。所以我想，只有我的网站才能从api -> laravel应用程序获取/发布数据。使用此承载令牌( ajax调用<e

浏览 1提问于2021-11-16得票数 1

1回答

如何使用受保护的urls从我的api中获取音频(颤音)

flutter、audio-player

我正试着在我的颤音应用程序上播放有声播放器。我的音频url来自我使用Java spring安全构建的API，这些音频的url受到保护(我使用令牌授权(承载令牌))

浏览 4提问于2022-07-27得票数 0

1回答

OAuth2用户令牌最佳做法

oauth-2.0

我使用"Code Grant Flow“来获取服务器端传递密钥的令牌。现在，我需要将令牌从服务器发送到客户端，以便能够在报头中使用承载令牌发出AJAX请求。哪种方法是最安全的？

浏览 2提问于2015-10-15得票数 0

1回答

如何为GCP生成永久访问令牌？

google-cloud-platform、google-api、authorization、gcloud

我们正在尝试使用下面的cURL将文件上传到GCP桶目前，我们正在使用AUTH_HEADER生成gclo

浏览 3提问于2022-04-04得票数 0

1回答

谷歌Oauth2承载令牌作为会话id

session、google-authentication

我已经使用Angular Application的oauth2实现了google-signin。一旦身份验证成功并生成了令牌，我就将其存储在本地存储/索引数据库中，并尝试将该令牌、UserProfile信息等发送到我的flask后端。我将验证令牌并继续流程，现在，我希望使用用户承载令牌作为我的会话ID，即，我正在进行的每个API调用，我将通过验证此承载令牌</em

浏览 13提问于2020-05-03得票数 0

回答已采纳

1回答

在授权服务器中使用更长的刷新令牌的安全风险是什么？

oauth-2.0、oauth-refresh-token

我们有一个客户端应用程序正在与oauth身份验证的应用程序交互。我们不想每次刷新令牌过期.So时对用户进行身份验证，我们认为可以将刷新令牌过期时间保持到1年。如果我们使用较长的刷新令牌来设置这种类型，那么安全风险是什么？

浏览 4提问于2022-06-10得票数 0

1回答

如何获得AD用户名，以便使用角-js SPA / ASP.NET-MCV启动承载令牌身份验证。

c#、asp.net-mvc、angularjs、owin、bearer-token

我正在为我的公司开发一个角形JS SPA，它使用无记名令牌来验证用户。使用ASP MCV作为后端，我在服务器上设置了OWIN中间件来处理承载令牌。我的意图是为web应用程序的用户生成无记名令牌，以锁定公开的API。这里的复杂之处在于，我需要基于AD用户的Doamain\用户名生成承载令牌，但是对于承载令牌，我无

浏览 2提问于2015-02-21得票数 1

回答已采纳

点击加载更多