如何解决“sudo:无法更改过期密码:身份验证令牌操作错误”
在Linux系统中，当用户的密码过期时，使用sudo命令执行操作时可能会遇到"sudo:无法更改过期密码:身份验证令牌操作错误"的错误提示。下面是解决这个问题的步骤：
- 首先，在终端中输入以下命令，以root用户身份登录系统：
su -- 输入root用户的密码以完成身份验证。
- 接下来，输入以下命令更改用户的密码：
passwd <username>其中，<username>是遇到问题的用户账号。
- 输入新的密码，并按照系统要求的密码规则进行设置。
- 重新输入新密码进行确认。
- 若密码修改成功，退出root用户登录：
exit现在，您应该可以再次使用sudo命令来执行操作，而不再遇到"sudo:无法更改过期密码:身份验证令牌操作错误"的错误提示了。
请注意，上述步骤中的<username>应替换为具体的用户名，例如若您遇到问题的用户账号是"example"，则第3步的命令应为passwd example。
由于禁止提及流行的云计算品牌商，我无法为您推荐腾讯云相关产品。但是，腾讯云提供了丰富的云计算解决方案，包括虚拟主机、云服务器、云数据库、云存储等。您可以通过访问腾讯云官方网站（https://cloud.tencent.com/）了解更多详细信息和产品介绍。
相关·内容
1回答
我一直试图理解会话和令牌身份验证之间的真正区别。
到目前为止，我收集到的是：
在令牌身份验证中，服务器端不存储任何内容。这意味着，实际的令牌包括密码和用户名以及其他可能的信息。服务器只是解密令牌，然后检查用户名和密码是否正确。我说得对吗？？如果令牌包含密码和用户名，那么每次令牌如何仍然不同？
在基于会话的身份验证中，会话令牌只是一个随机(时间上唯一的) id，它映射到服务器端的用户。因此，当服务器接收到session_id (例如在cookie中)时，它将检查它是否映射到任何用户，如果映射到任何用户，则对用户进行身份验证。所以session_id不包含任何可以解密的与用户相关的信息？
浏览 2提问于2016-08-11得票数 2
回答已采纳
我正在开发使用OAuth2与服务器端协同工作的移动应用程序。对于授权，我们使用OpenID连接和。在该流程中，移动设备授权过程的典型步骤是在系统浏览器中打开授权url，然后用授权代码捕获重定向url。
如果用户需要在浏览器中输入登录名和密码，则可以。但是我们有一些获得IP授权的客户端，在这种情况下，系统浏览器会在启动后立即关闭，并返回成功的授权。这种无用的浏览器启动是烦人的，我想防止它。
我现在唯一的想法是使用prompt=none参数(如中描述的那样)发出直接，以尝试通过IP进行授权。如果出现login_required或interaction_required错误，则在没有prompt参数
浏览 0提问于2020-04-17得票数 0
3回答
在站点之间传递凭据
、、、、
我在两个不同的服务器上运行两个不同的站点，有两个不同的域。一个网站运行Joomla，另一个运行Moodle。我已经将Moodle服务器配置为基于Joomla站点上的users表进行身份验证，因此我们拥有了一个权威的用户信息源。
我想做的是这样的:在有人登录到Joomla站点后，提供一个到Moodle站点的链接，它会让他们静默地登录，有点像是伪造了一个单点登录解决方案。Joomla中的密码是MD5'd，每个密码都有自己的秘密盐。
解决这个问题的第一个想法是告诉Moodle密码是以明文存储的，然后通过一个隐藏的表单输入，当他们点击链接时发送加密的密码。除了明显的安全问题外，这也意味着如果他
浏览 2提问于2008-12-09得票数 5
回答已采纳
我有一个控制台应用程序用C#编写在.NET Core2.2框架的顶部。
我正在尝试使用我的应用程序连接Google来创建。
但是，每次我试图调用REST时，都会得到以下错误
请求具有无效的身份验证凭据。预期的OAuth 2访问令牌、登录cookie或其他有效的身份验证凭据。见。
代码以前起作用了，但由于一些奇怪的原因，它停止了！
下面是一个示例，在这个示例中，我获得身份验证令牌，然后调用API来获取列表。
var credential = await GoogleWebAuthorizationBroker.AuthorizeAsync(new ClientSecrets
{
浏览 1提问于2019-06-30得票数 2
我想要执行敏感操作，行更新，电子邮件，密码等。我知道用户必须经过“最近”认证才能执行这样的操作。我希望在允许执行此类操作之前确定用户最近是否经过身份验证，而不是从结果错误消息中检测用户auth状态。(这是为了提供更好的用户体验)
我一直在寻找像isRecentlyAuthenticated()这样的方法，但是找不到。但我发现lastSignInTime在user metadata里面。只有当我知道“最近”身份验证在Firebase中的确切含义时，我才能将lastSignInTime与当前时间进行比较。
请澄清：
(1)是否有一种isRecentlyAuthenticated()方法可供我们使用
浏览 1提问于2019-08-16得票数 2
回答已采纳
我有一个ASP.net MVC应用程序，在引入ADFS身份验证之后，我无法将MVC视图呈现为PDF格式。
更早的时候，应用程序使用了使用WkhtmltoPDF库的表单身份验证和PDF呈现(它使用的是一个魅力)。在ADFS引入之后，它就不能工作了。
我得到的是一个空白PDF，标题是：“登录”，页面/PDF本身没有任何元素。
由于它试图连接到某个地方，所以我认为问题在WkhtmltoPDF的身份验证参数中的某个地方，也就是说，为了支持ADFS，我可能需要添加一些额外的参数，但我不确定是哪些参数。我已经尝试过使用--用户名和--密码参数，但是它们没有帮助。
问题是：如何使它工作(再次)？
浏览 2提问于2016-05-20得票数 0
回答已采纳
我已经实现了一个OAuth2服务器，它目前处理两种授予类型，password和refresh_token。
现在，我需要允许我的客户使用他们的Facebook或Google帐户进行身份验证，但我的问题可能适用于任何类似的流程。
要对Facebook或Google进行身份验证，用户需要授权我的应用程序来获取它的数据，然后我需要访问Facebook或Google来实际获取它们。
我想了两种方法。
用户登录其Facebook帐户，授权我的应用程序并检索访问令牌。它将访问令牌发送到我的服务器，我使用它来获取数据。
用户登录其Facebook帐户，授权我的应用程序并获得授权代码，将其发送到我的服
浏览 2提问于2016-04-05得票数 0
1回答
我正在尝试确定在我的解决方案中强制执行密码过期规则的最佳方法。
服务器端公开一个REST，用于使用自定义的活动安全令牌服务(各种类型)进行操作。客户端应用程序将用户凭据传递给在服务器上对用户进行身份验证的REST端点。响应包括一个表示用户的自定义安全令牌，然后将其传递给其他API方法，以便可以对调用进行授权。服务器是无状态的，并且不维护对标识或索赔信息的任何引用(即无会话)。
我们有由服务器强制执行的密码过期规则。因此，在对用户进行身份验证时，他们的密码可能已经过期。我需要与客户进行沟通，这样他们就可以做任何需要的事情，让用户更改他们的密码。(还有另一个REST端点用于更改服务器上的密码。)
浏览 5提问于2012-01-31得票数 1
回答已采纳
我正在尝试设置firebase函数，但在运行firebase init后出现错误。
错误: HTTP错误: 401，请求具有无效的身份验证凭据。应为OAuth 2访问令牌、登录cookie或其他有效的身份验证凭据。参见。
浏览 1提问于2018-10-19得票数 139
回答已采纳
设置：
1)使用"passwd -d“命令删除用户的密码
2)用户正在运行cron作业。
问题是：
每隔30天(默认密码过期策略)一次，cron就会出现错误。
Authentication token is no longer valid; new one required
ERROR: failed to open PAM security session: Success
ERROR: cannot set security context
我的问题：
有什么办法可以防止这种情况发生吗？
为什么已删除密码的用户的身份验证令牌已过期？
浏览 0提问于2012-01-20得票数 7
2回答
我已经设法让身份验证开始工作了，我知道它会向客户端返回一个令牌(JWT)。这个令牌有一个过期日期/时间，所以我想把这个令牌保存在一个cookie中，这样以后的登录就可以进行身份验证了，但这可能行不通。
然后我想把用户名和密码保存在cookie中，尽管我知道这不是推荐的做法？？
目前我有一个接受用户名和密码的表单，成功的登录将提供用于访问其他端点的令牌。
该表单需要包括“记住我”，以便自动登录。
实现这一目标的最佳方法是什么？
我是否应该将用户名和密码存储在cookie中，如果不是，我如何在用户下次到达我的站点时自动进行身份验证。我提供的令牌即将过期，所以存储它有什么意义吗？
提前感谢
浏览 0提问于2013-07-12得票数 4
回答已采纳
我正在使用一个受保护的Restful服务，它通过基本身份验证(用户名和密码)授予访问权限。我已经成功地访问了API服务并使用了它的API；但是，我仍然不知道用Basic Auth实现HTTP头的正确方法是什么。我假设我应该只验证一次，但从我构造代码的方式来看，我似乎需要用我创建的每个服务方法来验证API。
我是否应该创建一个带有身份验证的帮助器方法，并在每个服务上调用它？
浏览 0提问于2020-01-21得票数 3
1回答
这就是我的问题。我的应用程序有登录页面，密码重置页面和个人资料页面。未经身份验证，密码重置页面和配置文件页面无法访问。
我已经将[Authorize]用于配置文件操作和密码重置操作。
在我的应用程序中，我在30天后过期用户密码。因此，当用户登录时，如果密码过期，我会重定向用户更改密码页面。由于用户已经通过身份验证，因此用户可以转到配置文件页面，输入url (例如: www.mywebsite.com/ Profile /View)。这是一个漏洞。
我不希望用户取消密码更改过程。我想强制用户更改密码。
我如何才能做到这一点？
浏览 0提问于2013-02-10得票数 1
回答已采纳
2回答
GeoServer问题
、、、
在运行服务器时，我无法查看GeoServer中的层。我选中了Enabled复选框，仍然无法查看地图。如果我再次登录到GeoServer，则不选中Enabled复选框。在启动Apache服务器后，我在日志中看到了以下错误：
由: java.lang.RuntimeException:无法获得连接:无法创建PoolableConnectionFactory引起(致命:用户“postgres”的密码身份验证失败)
由: org.apache.commons.dbcp.SQLNestedException:无法创建PoolableConnectionFactory引起(致命:用户“postgres”
浏览 2提问于2013-11-12得票数 1
回答已采纳
1回答
我有一个asp.net网站。asp.net网站连接到wcf服务。wcf服务使用具有自定义用户名/密码身份验证的sts(安全令牌服务)。
asp.net页面有一个简单的用户名和密码登录表单。现在我想实现一个“记住我”函数。
目前我有两个解决方案：
在asp.net服务器上保存输入的用户和密码，并设置带有ID的cookie。在asp.net服务器上保存STS令牌，并在需要时对其进行更新。
什么是更安全的解决方案？你还有别的主意吗？
谢谢
浏览 2提问于2012-03-09得票数 1
回答已采纳
2回答
我不理解存储/处理密码的一些概念。
例如，我们的网站为移动应用程序(iOS、安卓等)提供了一个公共应用程序接口，并提供了身份验证。
毫无疑问，我们不能在数据库中存储原始密码，也不能在客户端和服务器之间发送原始密码，所以我们使用哈希和盐。
这样，我们在客户端加密密码，并将散列发送到服务器。但是，如果“黑帽”窃取了密码散列，并用它向服务器api进行身份验证，该怎么办？
我应该在客户机上散列密码，发送散列，然后在服务器上再次散列它们吗？
这个问题的常见解决方案是什么？
非常感谢，提前。
浏览 2提问于2014-03-06得票数 1
在我们的服务中，我们提供谷歌登录与电子邮件/密码登录，并需要知道何时用户失去对他们的谷歌帐户，以便我们可以禁用集成。在不强迫用户使用Google登录重新进行身份验证的情况下，我们如何才能检测到他们何时失去了对其连接的Google帐户的访问？
我在搜索过程中所考虑的方法是
当用户使用Google登录登录我们的服务时，通过access_token 2.0身份验证获得OAuth和refresh_token，并将它们保存在我们的数据库中
定期使用保存的https://www.googleapis.com/oauth2/v3/userinfo向access_token发出请求(如果用户的goog
浏览 0提问于2019-08-14得票数 1
有没有办法让我使用我的用户名/密码来获得我的Facebook身份验证令牌，而不是使用facebook UI？我想在没有任何用户交互的情况下这样做。
浏览 1提问于2010-11-18得票数 1
回答已采纳
1回答
我正在为个人项目创建一个API和一个SPA，并在以下验证用户的解决方案之间犹豫不决(注意:通过HTTPS)：
HTTP基本身份验证(发送每个请求的用户名/密码)
基于令牌的身份验证(在数据库中存储SHA1 1-ed用户令牌)
JSON Web令牌(JWT)身份验证
我甚至不认为OAuth，因为这似乎是一个真正的痛苦，而且我不需要认证其他应用程序，我只关心认证用户。
据我所读，JWT似乎是一个日益增长的标准。它基本上保存调用方的数据，所以每次调用者发出API请求时，您都会使用encrypt(base64(header) + "." + base64(paylo
浏览 2提问于2016-08-14得票数 1
2回答
当用户登录到我的移动应用程序时，它会使用OAuth对它们进行身份验证并生成令牌。然后根据每个后续请求检查令牌。我的应用程序中的每个用户帐户都有一个活动标志。当我停用一个帐户时，我将此标志设置为False，在登录时选中它，如果为False，用户将无法登录，也不会接收身份验证令牌。
但是，我必须介绍移动设备可能在用户仍然拥有有效令牌的情况下被错误放置的场景。因此，不应该看到数据的人现在可以访问数据了。我可以关闭用户帐户，但有了现有的有效令牌，用户仍然可以使用该应用程序，直到它过期。
有办法强制某个用户的令牌过期吗？我是否必须将令牌存储在数据库中才能做到这一点？
浏览 0提问于2019-01-04得票数 1
回答已采纳
1回答
我希望改进负载下的应用程序在身份验证过程中花费大量处理时间的性能(用户名/密码验证)。
我对应用程序密码的存储和验证方式很满意(通过多次迭代进行盐析和散列)，问题是身份验证过程缓慢，需要CPU (这是应该的)。
应用程序获得大量消息，而传入的每一条消息都经过身份验证。具体来说，我要做的是实现一个短期缓存(120秒)，如果成功地验证了用户名/密码，那么在缓存窗口中使用相同用户名/密码的任何其他请求都将进行身份验证，而无需经历缓慢的多次迭代验证过程。
基本流程是：
检查用户名是否有效，帐户未被锁定(挂起/最近更改了太多重试/密码)
检查缓存以查看用户名/密码条目是否存在
缓存中没有条目:
浏览 1提问于2013-08-05得票数 0
在登录到我的phpMyAdmin时，我忘记了身份验证用户名和密码。我没有创建或希望有身份验证页面来通过phpMyAdmin访问我的数据库。
我失去了数据库名和托管IP。我希望使用my_domain.com/phpMyadmin禁用对PHPMyadmin站点的身份验证。
我尝试了各种方法，比如更改MySql根用户密码。创建了新用户，但我无法绕过它。
Plase帮助
浏览 0提问于2015-05-26得票数 0
之前我们使用Author deployment进行身份验证，但在14天不活动后禁用，所以我尝试了服务主体身份验证，但它不起作用，并在数据工厂中运行活动时抛出以下错误
无法解析DataLakeAnalyticsUri ''，请更改或删除DataLakeAnalyticsUri并尝试。
{
"name": "AzureDataLakeAnalyticsLinkedService",
"properties": {
"type": "AzureDataLakeAnalytics",
浏览 5提问于2019-10-07得票数 0
我正在构建一个应用程序，它要求用户在启动时登录。
认证过程如下：
用户输入用户名/密码。
客户端向Web服务发送用户名+密码。
Web服务使用数据库中的散列密码对用户进行身份验证。
Web服务向客户端返回一个令牌，其中包含这三个值之一：
1)用户名无效。
2)密码无效。
3)对用户进行认证。
客户端使用令牌来确定下一个操作过程。
该令牌被传递给服务，客户端进行的每一次后续调用都是如此。如果未对用户进行身份验证，则服务将拒绝该调用。
令牌封装在DTO中，DTO是一个DataContract。令牌本身就是一个DataMember。DataMembers要求该属性具有
浏览 5提问于2012-08-19得票数 1
回答已采纳
2回答
我有带身份验证(注册、登录、忘记密码等)的API服务器。基于JWT令牌会话。
当用户忘记密码时，他会收到带有唯一令牌和链接的电子邮件，他可以在其中重置密码。
此时，我正在生成UUID令牌，并将其与过期字段一起保存到数据库中。
用户重置其密码或令牌过期后，该令牌将失效。crontab会在每个午夜删除无效的令牌，以保持数据库的干净。
有没有其他方法可以做到这一点？也许不需要使用数据库？
我在考虑将令牌UUID捆绑到JWT字符串中。这样我就不需要数据库行了。但是后来我意识到，这个令牌在过期之前都是有效的，所以用户可以无限地更改他的密码。我看到的唯一解决办法是将这个令牌添加到撤销列表中(在数据库中)，
浏览 26提问于2020-02-16得票数 1
1回答
我想使用salesforce的搜索API。是否可以在没有用户名/密码的情况下进行身份验证，例如使用某种永久身份验证令牌？
浏览 1提问于2016-08-07得票数 0
1回答
我最近为我正在制作的iOS应用程序的安全性和用户身份验证问题而苦苦挣扎，主要问题是如何允许用户注册任何第三方服务(或本地用户帐户)，并且仍然保持一个安全和模块化的过程。
我想出的解决方案是相当复杂的，我不能百分之百肯定所有这些都是最好的实践，所以我想我会询问并得到任何关于我能修复什么、什么有用、什么不好等等的建议和建议。
首先是认证问题。我喜欢将身份验证的概念与用户的想法分开。对我来说，身份验证是由设备或客户端执行的，独立于特定用户，而用户帐户是由于该身份验证而创建或检索的。这允许您将客户端的身份验证视为一个进程，然后对用户进行身份验证(检查是否存在帐户等)，以便有两层安全性。例如，客户端成功
浏览 2提问于2015-06-25得票数 6
我正在开发一个web应用程序，并且正在尝试使用最好的身份验证系统。基本上，我希望客户端向我的服务器发送一个用户名和密码，并且我希望服务器通过向客户端提供一个令牌来响应，该令牌可以用来代替密码。
我已经对此进行了一些调查，我一直看到的一个建议是使用HMAC和一个只有服务器知道的密钥。我看到了这种方法的好处，但在我看来，这仍然不是理想的，因为据我所知，它不能过期。
我相信，我可以通过将ip地址添加到用于创建/验证hmac的字符串来增加额外的安全性，但我仍然不确定这是否是最好的方法。
有什么理由不只是简单地使用openssl_random_pseudo_bytes()之类的东西生成我的身份验证令牌，
浏览 0提问于2014-07-08得票数 0
我已经用我的应用程序在两个不同的浏览器上打开了两个浏览器窗口。我注意到如果我使用的是本地Azure AD帐户，并且在第一个打开的窗口中重新设置我的密码。即使我刷新窗口，另一个窗口中的会话仍然是登录的。为什么B2C使用先前的身份验证？我怎么才能改变呢？
这是危险的，因为用户不可能从所有的会话中注销，例如他忘记了在图书馆、学校等的注销。
当然，存在解决方案，每次用户打开新窗口时都要注销，但是保留日志的方法是用户友好的。
浏览 7提问于2022-01-25得票数 1
回答已采纳
3回答
我有一个经典架构的应用程序: UI <--> WCF <-->业务层<-->数据层<-->数据库。对于WCF服务，我使用用户名/密码身份验证。这些用户名是存储在应用程序数据库中的密码。密码配置为定期过期(业务要求)。
我有一个密码过期的问题。我在我的WCF服务中做了一个负责修改用户密码的操作，但是当密码过期时，我无法访问它，因为身份验证失败了！
我该怎么处理呢？我是否应该为密码修改创建一个具有特殊身份验证的特殊端点(例如，如果密码是正确的，则允许访问，尽管密码已过期)？对于这样一个“小”问题来说，这听起来像是一个沉重的解决方案。
编辑:也许我应该
浏览 0提问于2011-04-20得票数 2
1回答
我的flutter应用目前使用OAuth对用户进行身份验证。我正在使用资源所有者密码授予。我想在应用程序中添加生物认证(手指/面部id)。
在向仍需要在后台执行OAuth的应用程序添加生物识别身份验证时，应采用什么方法？我是否要将用户名和密码存储在一个安全的位置，并在后台使用它对OAuth进行身份验证？对于此场景，最安全的模式是什么？
浏览 3提问于2019-10-30得票数 0
目前，我有这样的设置：
在登录时，以及在登录后的每个后续请求中，我构建的移动应用程序使用基本身份验证来使用web服务对用户进行身份验证，web服务向应用程序提供它请求的信息。
在每次请求时，将检查授权头，从标头中提取密码和用户名，使用专用DLL (因此web服务实际上不包含散列算法)对密码进行散列，并将其与存储在数据库中的用户名相关联的散列密码进行比较。
现在我被要求在登录选项中包括Azure AD SSO。在阅读了很多关于这个主题的文章之后，在我看来，这似乎是一种设置：
我对几件事很好奇：
这个设置或多或少是正确的吗？
应用程序是否向web服务发送身份令牌？如果是
浏览 0提问于2021-03-30得票数 0
我正在为我正在构建的网站编写一个RESTful API，它有使用用户权限的方法。例如，我有一个名为removeResource(resource_id: int, user: string)的方法。更大的管道是名为API方法的用户登录，该方法检查他们的用户名和密码，如果他们的密码是正确的，则返回带有用户id的加密字符串。加密和解密是在API端使用Fernet对称加密(https://cryptography.io/en/latest/fernet.html)完成的。用户拥有为其允许的操作设置的权限。
我担心有人试图进行API调用时，他们没有权限，所以我也发送加密的用户id与每个API调用需要权
浏览 0提问于2021-04-10得票数 0
我尝试做的是从Java应用程序访问一个电子邮件服务器(在我的例子中是Apache James主干版本)。这与为身份验证配置的LDAP配合使用效果很好。
然而，我这里有一个问题，它由两件事组成。首先，我必须将密码存储在用户会话中，以便对邮件服务器进行身份验证(我不希望任何密码在我的代码中浮动--甚至不是加密的或临时的)。其次，我还想让用户定义另一个用户来访问他的收件箱。当然，该用户没有包含正确的密码。
对于第一个密码(除了一个主密码)，我还没有找到一个好的替代方案。对于第二个，我正在研究SASL，但根本找不到任何好的文档或示例配置来说明这种设置。
我可能是天真的，但我认为这种情况或多或少是常见的
浏览 1提问于2015-02-17得票数 0
1回答
单元测试oAuth2授权码
、、、、
我能够通过一个外部api从Laravel通过口香糖连接。该api需要使用授权代码通过oAuth2进行身份验证。我想知道如何集成测试重定向场景，只需要用户名和密码？
换句话说:如何在集成测试中通过重定向以“抓取”重定向uri中的授权代码来模拟浏览器的操作？
流
我请求外部api的登录页面。
我必须填写用户名和密码。
在正确的登录之后，我将被重定向到指定的重定向uri，使用de授权代码作为查询参数。
自动测试
我可以与api连接，并且能够获取、发布和放置请求
重定向方案通过浏览器工作，但在集成测试场景中，我只有用户名和密码、，而没有CSRF、viewState等字段。
浏览 1提问于2017-04-04得票数 3
回答已采纳
1回答
在永久存储中跟踪JWT
、、、
我在Spring中有一个身份验证服务，它发布/验证JWT。用户传入用户名/密码，服务对其进行验证，并返回访问令牌和刷新令牌作为响应。以下是我在这项服务中想要的一些东西：
我希望确保用户只能使用同一刷新令牌一次才能获得新的访问令牌，并确保刷新令牌在被使用后过期。
，我想在过期后清理过期的访问和刷新令牌。为此，我需要一个存储库来跟踪我发出的所有JWT令牌和过期日期。
这会被推荐吗？如果是这样的话，在这种情况下最适合的存储是什么？我正在寻找AWS密钥管理服务，但不确定是否有更好的选择。
任何帮助都将不胜感激！谢谢。
浏览 3提问于2020-12-03得票数 0
回答已采纳
我花了最后几天的时间阅读文章和OWASP，这是我想要去的设计。我的应用程序会将数据保存在云中。密码并不是一个普通的PIN，所以每次输入密码都会让人感到尴尬。这个应用程序经常使用，所以我想保存密码。
我的建议如下。请写下你的反对意见：
用户输入凭据
REST服务对用户进行身份验证，并提供几个小时有效的某种令牌。
REST服务提供与此用户关联的公钥。
移动应用程序使用此公钥加密密码。
如果令牌过期，应用程序将向REST服务发送用户名和加密密码。
REST服务查找私钥并验证解密的密码。
REST服务返回当前令牌。
备份REST服务将使用令牌对用户进行身份验证。它可
浏览 0提问于2018-02-20得票数 0
2回答
让我解释一下标题：
我有一个PHP ，它使用OAuth2身份验证。
我有一个NodeJS应用程序，通过密码授予使用这个API。在会话中，节点存储每个用户的访问令牌和刷新令牌。
当用户请求节点或通过前端恶魔要求节点定期刷新时，我可以使用access_token更新refresh_token。
我的问题是:我想让我的access_token保持短暂的生命，因为我听说它是进一步的安全性(3600秒左右)，但是我希望允许用户在几天后回来，并且仍然通过身份验证，或者至少避免再次询问他密码登录。是否被迫延长访问令牌的生存期？节点服务器是否需要刷新用户的令牌，即使他没有请求任何东西？
提前谢谢你
浏览 6提问于2015-09-01得票数 0
回答已采纳
我有一个基于node.js的web服务器，它提供REST。目前，它接受用户名和密码进行身份验证。有一个.NET客户端，它提供一个登录表单，它收集数据并将其发送到服务。
新的要求是提供Active Directory身份验证，以便用户在登录到web服务器时不必输入用户名和密码，而是可以在登录到Active Directory的一部分并安装了客户端的计算机时使用他们提供的凭据自动登录。web服务机器也是的一部分。
这似乎是一个常见的问题，理论上似乎并不难：
用户登录到安装了客户机的机器上，用户启动客户端，客户端从系统获得安全令牌，客户端以某种方式将该令牌发送给web服务(在标头、正文中，服务将知道
浏览 1提问于2021-03-12得票数 2
我想更好地理解为什么有些人使用一次密码和其他身份验证令牌这个术语。
我注意到，在学术界，通过身份验证的令牌(比如现在和现在的签名)和OTP是有区别的，我一直认为OTP是这类令牌的一个家族，一个是硬件或软件辅助的，使用一些共享的秘密或种子，而不是证书本身。
在工业界，我听到越来越多的人打电话给经过认证的令牌OTP。实际上，我开始怀疑自己，在网上找不到很多比较甚至定义两者的材料。因此，我想知道以下几点：
这两个概念之间有什么区别呢？
我可以换个词吗？
是否有标准来定义OTP是什么以及它应该是什么样子？
浏览 0提问于2020-07-24得票数 6
2回答
我有一个带有OData V4服务的WebAPI 2.2，它使用自定义身份验证机制。基本上，它类似于OAuth的持有者身份验证，即通过用户名和密码向特定端点发出请求，并返回令牌。然后，令牌将包含在所有后续请求的Authorization标头中。我正在使用OData V4客户端代码生成器(2.3.0)，并使用DataServiceContext的BuildingRequest事件手动添加授权标头，如下所示...
private void GetData() {
var context = new DataAccess.Default.Container(new Uri("http:
浏览 1提问于2015-07-14得票数 4
1回答
我不是一个开发人员，但我正在拼命地使用Last.fm web服务，因为他们的新网站设计不再提供一些特殊的信息，这些年来我对此有点上瘾。
问题:我无法进行身份验证；当我试图获取web服务会话时，会出现一些错误消息(“提供的身份验证令牌无效”)。
我通常尝试桌面应用程序()的身份验证。下面是我执行的步骤。任何帮助都是非常感谢的！
步骤1:获取API键
我得到了一个，并检查它是否与示例方法"artist.getSimilar“(www.last.fm/api/show/artist.getSimilar)和follwing调用一起工作：
ws.audioscrobbler.com/2.0/?
浏览 5提问于2016-03-13得票数 2
回答已采纳
1回答
在特定授权用户更改密码或电子邮件的情况下。由于电子邮件或密码是用户身份验证的一部分，因此我认为有必要撤消所有auth令牌。
但是，在这种情况下，如何进行更新令牌的最佳实践呢？
浏览 0提问于2018-11-16得票数 1
我正在为安卓系统上的祖母写一个相框应用，它会自动更新她Picasa相册中的图片。(不是说她知道Picasa是什么。)该应用程序将使用她注册的Google帐户自动登录Picasa。(并不是说她知道什么是谷歌账户，也不是说她有谷歌账户。)
通过许多痛苦和阅读错误/晦涩/矛盾/模糊的文档，我慢慢开始让我的应用程序使用默认的Android Google帐户进行身份验证。当然，第一次访问时，我会收到一个通知，我必须输入Google密码。然后，我得到了一个身份验证令牌，可以用于将来的请求，这样图片查看器就可以愉快地更新其照片，而不必麻烦奶奶输入密码。
问题是:我对Picasa的身份验证令牌将在多长时间后过
浏览 16提问于2011-11-09得票数 3
我正在建立一个我想要安全的认证系统。我计划使用JWT令牌作为主要的身份验证机制。当令牌过期时，服务器将返回"401未经授权“响应，我希望客户端能够执行无声刷新。这通常是使用刷新令牌完成的。我想知道使用用户密码哈希作为刷新令牌会带来什么安全影响？
除此之外，我还计划在JWT中包含密码哈希。当验证JWT时，我的应用程序将检查JWT中的密码哈希是否与用户当前的密码哈希匹配。如果它们不同，服务器将告诉客户端将用户注销。
在这个过程中是否有我遗漏的安全漏洞？
浏览 0提问于2020-04-15得票数 2
1回答
我正在使用Firebase电子邮件/密码身份验证。在用户成功登录后，我以以下方式查询访问令牌：
FirebaseUser mUser = FirebaseAuth.getInstance().getCurrentUser();
mUser.getIdToken(true)
.addOnCompleteListener(new OnCompleteListener<GetTokenResult>() {
public void onComplete(@NonNull Task<GetTokenResult> task) {
if (task
浏览 0提问于2018-04-04得票数 19
回答已采纳
我正在YII1.x中构建一个API，它将与移动应用程序一起使用。该过程的一部分涉及使用以下JSON请求登录(具有用户名和密码)：
//用用户名和密码发送的请求
{
"request" : {
"model" : {
"username" : "bobbysmith",
"password" : "mystrongpassword"
}
}
}
//如果成功登录，则返回以下响应
{
"response": {
"cod
浏览 6提问于2014-08-15得票数 22
回答已采纳
1回答
我正在开发一个应用程序，Google将用于管理一些文档。这样做的目的是创建一个带有一些初始模板数据的文档，并通过将用户添加为文档的协作者来提供用户访问权限。
我熟悉OAuth认证过程，我在系统的另一部分中使用它来管理用户日历.
但在这种情况下，这些文档将存储在公司的一个通用帐户中，因此我无法获得认证的批准提示，因为用户将不知道帐户的密码。
我想在这个帐户中直接进行身份验证，可以使用Java代码中硬编码的用户名和密码。
问题是，这种身份验证方法被破坏了，而我没有找到任何相关信息。
有什么想法吗？
谢谢你，菲利普
浏览 5提问于2013-10-28得票数 5
回答已采纳
401似乎用于表示身份验证失败，403用于表示授权失败(这意味着身份验证成功？)在oauth流的情况下，如果我试图使用过期的令牌进行身份验证，那么正确的错误代码是什么，它会提示客户端刷新令牌并再试一次？
浏览 7提问于2017-07-17得票数 17
1回答
我希望允许我的应用程序的用户匿名登录(这将用随机生成的电子邮件和密码为他们创建一个帐户)，如果他们想要创建一个永久帐户，他们将能够简单地绑定一个电子邮件和密码。
我使用令牌、访问和刷新，这意味着普通令牌流对于匿名用户和身份验证用户都是相同的。
匿名用户的问题是，如果一个用户长时间没有登录应用程序(这比刷新令牌更大)，这意味着刷新令牌现在过期了，并且无效。
我如何处理这种情况呢？我不能像往常一样要求他们进行重新身份验证，因为他们不知道他们是凭据，我不能冒险丢失用户的数据。
我唯一能想到的就是尝试使用本地首选项(如DataStore/SharedPreferences )与KeyStore结合使用
浏览 6提问于2021-10-23得票数 0
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
云直播活动推荐
腾讯云开发者
