用于刷新oauth2令牌的Flutter身份验证器服务
刷新OAuth2令牌的Flutter身份验证器服务是一个用于处理身份验证和令牌刷新的服务。它可以帮助开发人员在Flutter应用程序中实现安全的用户身份验证和访问令牌管理。
OAuth2是一种授权框架，用于允许第三方应用程序访问用户在另一个应用程序中存储的资源。它通过令牌来实现安全的访问控制。然而，这些令牌有一定的有效期限制，过期后需要刷新以继续访问受保护的资源。
Flutter是一种跨平台的移动应用程序开发框架，可以使用Dart编程语言进行开发。它提供了丰富的UI组件和工具，使开发人员能够快速构建漂亮且高性能的移动应用程序。
身份验证器服务的主要功能是处理用户身份验证和令牌刷新。它可以与后端服务器进行通信，验证用户的凭据，并获取访问令牌。当令牌过期时，身份验证器服务可以自动刷新令牌，以确保用户可以持续访问受保护的资源。
该服务的优势包括：
- 安全性：通过OAuth2协议和令牌刷新机制，确保用户的身份和数据安全。
- 简化开发：提供了易于使用的API和工具，简化了身份验证和令牌管理的开发过程。
- 跨平台支持：由于Flutter是跨平台的，身份验证器服务可以在iOS和Android等多个平台上使用。
- 可扩展性：可以根据应用程序的需求进行定制和扩展，以满足不同的身份验证和令牌管理需求。
推荐的腾讯云相关产品是腾讯云身份认证服务（CAM）。CAM是腾讯云提供的一种身份认证和访问管理服务，可以帮助开发人员实现用户身份验证和访问控制。您可以通过CAM来管理用户、角色和权限，并为您的应用程序生成访问令牌。
腾讯云身份认证服务（CAM）产品介绍链接地址：https://cloud.tencent.com/product/cam
请注意，以上答案仅供参考，具体的实现和产品选择应根据实际需求和情况进行评估和决策。
相关·内容
2回答
我在flutter应用程序中处理oauth2身份验证。我正在考虑当我的API中的任何一个发生401认证错误时刷新令牌。那么如何为所有的http请求添加认证服务呢？在android中，我们有okhttp authenticator来检测任何API调用过程中的身份验证错误，并且可以刷新令牌并继续之前的API调用。在flutter中如何实现这一点呢？我不认为在所有的API中处理401错误是一个好的做法。
浏览 33提问于2019-09-15得票数 1
回答已采纳
1回答
我正在使用Oauth2在我的系统中处理身份验证。虽然身份验证有效，但我担心我的刷新令牌端点的安全性。前端调用此端点以在其过期后获取新的访问令牌。
我的问题是，如何防止有人呼叫该端点并获取新的访问令牌？您是否会使用访问令牌对自己进行身份验证？目前，我正在使用这些令牌对单独服务上的API调用进行身份验证。
端点目前支持csrf，但这可能还不够。
谢谢!
浏览 1提问于2018-01-24得票数 0
1回答
我使用快速服务器使用oauth2身份验证/ Bearer授权来设置ember auth。流程按预期工作:发出访问/刷新令牌并按计划刷新。当用户注销时，服务器上的令牌被撤销，会话无效。现在，在我手动删除服务器上的刷新令牌的实例中，成员将记录“身份验证器”身份验证器:OAuth2“被拒绝以恢复会话-使…无效”。在控制台中，下次请求刷新时。此时，如果我试图重新加载页面，则会话无效，然后将被重定向到登录页面。
当令牌刷新失败时，我希望使会话/日志用户失效，而不必首先刷新页面。我以为这是正常的行为，但我一定是错了/错过了什么。
浏览 5提问于2016-04-02得票数 3
OAuth2的正常流(如中所描述的)如下：
发送带有访问令牌的API请求
如果访问令牌无效，请尝试使用刷新令牌更新它。
如果刷新请求通过，更新访问令牌并重新发送初始API请求。
如果刷新请求失败，请让用户重新验证。
这对于大多数API调用来说都很好，而且很好，但我想知道一件事:身份验证。
当用户试图使用他们最喜欢的服务登录到我喜欢的新get应用程序时，我应该使用他们的刷新令牌(或者在OAuth1情况下使用缓存访问令牌)尝试登录，还是应该始终从服务提供商(谷歌、Facebook等)那里获得一个新的令牌，并丢弃存储的访问和刷新令牌？
浏览 5提问于2015-11-04得票数 0
在OAuth2身份验证过程中，应该只使用一次刷新令牌。当使用refresh_token时，它将返回一个新的access_token和一个新的refresh_token。
这在范6819规范中也是如此：
5.2.2.3.刷新令牌旋转是为了自动检测和防止来自不同应用程序/设备并行使用相同刷新令牌的尝试。如果从客户端窃取令牌，随后攻击者和合法客户端都使用令牌，则会发生这种情况。基本思想是使用每个刷新请求更改刷新令牌值，以检测使用旧刷新令牌获取访问令牌的尝试。由于授权服务器无法确定攻击者或合法客户端是否正在尝试访问，因此，在进行这种访问时，有效的刷新令牌和与其关联的访问授权都将被撤销。OAuth规范支
浏览 0提问于2016-12-21得票数 2
3回答
我已经阅读了大量关于OAuth和OpenID连接的文章，但这个问题专门涉及OAuth2资源所有者密码授予(又名OAuth2资源所有者凭据授予，又名OAuth2密码授予)。
一些资源(比如贾斯汀·里奇的"OAuth2 in Action“一书)说，不使用OAuth2资源所有者密码授予进行身份验证()--参见书中的6.1.3节。
其他好的资源，比如下面的，都说我们可以使用OAuth2资源所有者密码授权来通过受信任的应用程序对用户进行本质的身份验证
但是，我很难理解为什么我们不应该使用OAuth2资源所有者密码授权作为认证成功的本质证据？
我对资源
浏览 7提问于2017-11-23得票数 6
1回答
我正在使用Spring为我们的移动应用程序开发一些RESTful服务。我成功地使用用户名和密码注册实现了Oauth2身份验证。用户可以使用用户名和密码进行身份验证。此外，我们的客户端希望使用他们的自定义令牌进行身份验证。它们有一个web服务，您可以发送令牌，并且响应是正确或错误的。
我的第一个想法是，我可以编写像/自定义登录这样的服务，并且该服务接受自定义令牌。在我的服务中，我可以使用外部服务检查此令牌，如果它是有效的，则调用oauth2身份验证并返回oauth2身份验证响应。
如何实现自定义身份验证oauth2？
浏览 4提问于2016-05-05得票数 0
回答已采纳
1回答
我已经使用访问令牌、刷新令牌和刷新令牌轮换构建了一个身份验证。当用户登录时，系统生成一个JWT令牌和一个UUID哈希刷新令牌及其刷新令牌id，然后返回给用户。
初始化刷新令牌是一个UUID令牌，它使用bcrypt对UUID令牌进行散列，然后保存到数据库中。在数据库中，除了保存刷新令牌id和散列令牌外，我还保存了其过期日期、其userId、活动状态和已撤销的ip。
访问令牌作为Bearer令牌在JWT验证的Authentication标头中传递。当一个访问令牌过期时，它使用旧的刷新令牌值及其id调用/refresh-token，以获得新的访问令牌和刷新令牌对。如果刷新令牌过期，我将要求用户重新登
浏览 6提问于2021-10-19得票数 1
1回答
我正在尝试构建spring-angular2 (spring的新手)应用程序，我选择OAuth2作为安全模型。我的新应用程序有3个部分。认证服务器，后端服务器和前端(angular 2)。目前，我仅将OAuth2用于身份验证目的
根据我目前的设计，我的服务器(业务层)将与身份验证服务器通信以进行身份验证(基于authorization_code)，并将接收OAuth2令牌(短期访问令牌和长期刷新令牌)。我在这里的目的是在需要时使用这个刷新令牌来生成访问令牌，直到它过期，然后重定向到auth服务器进行登录。所有令牌管理都将在服务器上处理，前端不会知道这方面的任何事情。
现在有了这个设计，当我运行
浏览 0提问于2016-09-13得票数 0
1回答
刷新令牌宽限期的安全含义
、、、
我有一个使用构建的OAuth2服务器，默认情况下，刷新令牌在使用时立即被撤销。这意味着，如果客户端使用刷新令牌请求新的访问令牌，但由于网络中断而未收到响应，则它们将被迫重新进行身份验证。
该库提供了设置，它是在使用刷新令牌和撤销令牌之间等待的时间量。如果客户端使用刷新令牌但未收到响应，则该原始刷新令牌仍将对REFRESH_TOKEN_GRACE_PERIOD_SECONDS有效，从而允许客户端获取新的访问令牌，而无需重新进行身份验证。
据我所知，在使用时立即撤销刷新令牌的目的是为了防止，但由于此授权服务器独占使用https、。
是否有刷新令牌撤销的宽限期可能导致的其他漏洞？从不撤销刷新令牌的含
浏览 13提问于2021-03-04得票数 1
1回答
oauth2RestTemplate或access令牌提供程序是否支持验证令牌请求？
以下是流程：
Mobile/Web从第三方身份验证服务器进行身份验证并获得访问令牌。
用户尝试访问受保护的资源，并按照协议的要求在请求中传递访问令牌。
是否可以对第三方服务器检查此令牌？
我在刷新令牌的形式中发现了一些类似的。
验证请求是OAuth2标准的一部分吗？
谢谢
浏览 3提问于2013-04-18得票数 0
回答已采纳
1回答
我正在开发一个PHP项目，该项目利用了一些服务中的API。对于单个API，它使用OAuth 2.0授权对应用程序的API访问进行身份验证。但是，我不确定应该如何处理这个过程来验证本地控制台应用程序。
我不会使用webflow来验证API，因为我的PHP脚本在本地控制台中运行。API允许通过输入我的用户名和密码来检索访问令牌和刷新令牌(他们只推荐用于控制台应用程序)。
一旦我获得了访问令牌，我就可以使用它来发出API请求。这个很好用。但是，我不知道如何处理刷新令牌。API以这样的方式使用刷新令牌：
/oauth2/access_ token / (刷新令牌使用)
上下文:客户端的Web服务器
浏览 15提问于2014-06-16得票数 1
我正在研究Oauth2，以允许开发人员授权其应用程序的用户使用我的服务。我发现一些消息来源说，当用户发送断言(在我的例子中是JWT)时，我的授权服务器应该返回访问令牌，但它不应该返回刷新令牌。我想知道返回刷新令牌有什么坏处。开发人员可以通过调用一个Api来使刷新/访问令牌无效，该Api使从特定JWT的id授予的任何访问权限无效。
浏览 4提问于2017-02-23得票数 1
1回答
我有一个客户端正在使用OAuth2进行单点登录，并使用自己的登录页面。一旦用户登录，它们将被重定向回我正在构建的React。我想找出的是我的应用程序与OAuth2集成的方法，以确保用户是否还在注册。例如，如果用户仍然经过身份验证，我需要一种检查OAuth2的方法来刷新应用程序。
我是否应该使用快速服务器来管理重定向从AUTHORIZATION_CODE返回的OAuth2？据我所知，OAuth2在重定向url中返回一个AUTHORIZATION_CODE和状态。如果是这样的话，我将如何处理这方面的特快？是否有一个管理此过程的快速插件。
或者我可以绕过使用express，只使用Auth0 Reac
浏览 2提问于2022-03-16得票数 1
1回答
我正在搜索使用Flutter身份验证、身份验证令牌和使用JWT的刷新令牌工作流的简单教程或示例。(如何使用身份验证令牌和刷新令牌进行登录)
我使用Node.js作为后端和JWT。
浏览 15提问于2020-05-05得票数 1
1回答
我看到大多数人说，当我们使用刷新令牌来交换新的访问令牌时，身份验证服务器会发出一个新的刷新令牌，并使前一个令牌无效。参考OAuth Refresh Token Best Practice 但从OAuth网站https://www.oauth.com/oauth2-servers/access-tokens/refreshing-access-tokens/ 它说身份验证服务器可以“有选择地发出一个新的刷新令牌作为响应，或者如果我们不包括新的刷新令牌，客户端假定当前的刷新令牌将继续有效”。 因此，看起来这两个选项(保留或更新刷新令牌)对于OAuth2标准都是可接受的。 我的问题是： 1)这两个
浏览 33提问于2019-06-06得票数 3
回答已采纳
2回答
我有多个移动客户端，它们都使用密码授予流进行身份验证。为此，我只想使用一个非常持久的刷新令牌与多个较短寿命的访问令牌。我一直在尝试使用密码授权在春季生成多个访问令牌，但是，每当我刷新访问令牌时，旧的访问令牌就会停止工作。我检查了数据库，为了进行特定的身份验证，oauth_access_token表中始终只有一条记录。Spring Oauth2不是应该为一个刷新令牌生成多个访问令牌吗？谢谢你的帮助。
浏览 0提问于2019-05-12得票数 5
我正在尝试在OAuth2规范中查找与授权授权期限相关的任何内容。有提到访问令牌到期，需要刷新/更新，但我没有看到任何关于Grant的内容。我的印象是，如果需要终止或撤销授权授权，这将是必须添加到身份验证服务器的东西，而实际上不在OAuth2框架的范围内。
我的理解是正确的，还是我忽略了什么？这是一个有效的用例吗？
浏览 6提问于2017-05-09得票数 1
我们正在构建一个移动应用程序，它将使用OAuth2通过grant_type“密码”(两条腿设置)对用户进行身份验证。所以基本上用户只发送用户名和密码，接收一个access_token和一个refresh_token。
访问令牌的生存期很短，刷新令牌是一次性使用的.因此，一旦访问令牌过期，用户就会发送刷新令牌来接收新的访问和刷新令牌。所以我想是个很基本的设置..。
但是，我们也允许用户通过电子邮件进行身份验证，即用户在应用程序中输入他的电子邮件，只需单击“发送身份验证电子邮件”。他收到一封带有身份验证链接的电子邮件，该链接打开应用程序并对用户进行身份验证。
我的想法是，应用程序生成一个guid并
浏览 0提问于2015-09-30得票数 3
回答已采纳
1回答
阅读一些关于Oauth 2流中刷新令牌的目的的类似文章，它们对于用户参与的身份验证(如用户名和密码)是有意义的，但是对于Oauth2客户端凭据流来说，为什么要冒使用刷新令牌的风险呢？
是否系统压力较小，或者在新的访问令牌过期后使用刷新令牌获得新的访问令牌比通过客户端id和客户端秘密身份验证获得访问令牌更快？
引用的帖子：
浏览 0提问于2018-12-26得票数 1
回答已采纳
2回答
我正在使用库来实现oauth2服务器。
目前，我使用访问令牌对每个请求进行身份验证，在访问令牌过期时使用刷新令牌，因此如果刷新令牌未过期，则服务器将返回新的访问令牌。如果刷新令牌过期，则返回以下错误：{“invalid_grant”：“error_description”：“刷新令牌已过期”}，之后客户端用户将自动注销。
我想用Oauth2实现标准的“PHP会话超时”。因此，从上次请求到XX分钟后，我的令牌将无效(如果同时没有请求)，这意味着我将在每个请求上延长我的令牌在XX分钟内的有效性。
我希望刷新令牌的过期时间与我的上一次请求一致，因此在XX分钟的用户不活动之后将返回先前的错误。有人能告
浏览 1提问于2016-01-08得票数 3
我刚刚将我们的Box代码升级到OAuth2。
我们已经实现了允许用户在我们的web服务器和他们的Box (以及SkyDrive、Dropbox、Google )帐户之间传输文件的代码。用户的访问和刷新令牌存储在我们的数据库服务器中。
根据，它表示每个刷新令牌的有效期为60天。
SkyDrive和驱动器都使用OAuth2，并且没有刷新令牌到期。是否可能有未过期的刷新令牌？
有些应用程序可能不需要刷新令牌，所以您会考虑引入新的OAuth2作用域吗？
box.read
box.read_write
box.offline_access
浏览 1提问于2013-01-05得票数 5
2回答
OAuth2规范规定，当使用隐式授予时，授权服务器不得发出刷新令牌。在我们的用例中，我们使用RESTful保护OAuth2 API，并使用单个Page应用程序作为该API的客户端。由于访问令牌过期后很难重定向到授权服务器，因此我们正在寻找一种获得新的有效令牌的更好方法。我可以想出两种不同的方法，想知道哪一种更好：
使用隐藏的iframe重新分配有效的访问令牌。为此，必须包括“prompt=none”这样的参数，该参数告诉OAuth提供程序既不挑战身份验证，也不显示授权页。如果用户经过身份验证并已授权应用程序，服务器将在urls #参数中发送一个访问令牌。如果前面的条件之一没有得到满足，它将
浏览 2提问于2014-07-22得票数 31
我目前正在尝试使用Security实现OAuth2身份验证的web服务(API)。据我所知，给定用户、客户端应用程序和服务器，身份验证过程如下：
用户通过客户端从服务器请求资源
客户端从服务器检索请求令牌。
服务器使用临时请求令牌和重定向URL进行响应
客户端加载网页(重定向URL)，并允许用户输入凭据以验证请求令牌。表单输入被发送到服务器，客户端不知道输入。
服务器将使用授权代码进行应答，授权代码将传递给客户端。
客户端使用授权代码检索访问令牌(如果请求，还可以选择刷新令牌)。
用户将访问令牌交给客户端
客户端使用访问令牌检索请求的资源。
在Sprin
浏览 0提问于2016-03-01得票数 2
回答已采纳
我不太明白为什么oauth2用于自动化，OpenID连接用于身份验证。
来自
授权服务器在成功地authenticating资源所有者并获得授权之后，向客户端发出访问令牌。
另一方面，根据代理或依赖方被重定向到某种身份验证页面，以便能够认证用户，不是吗？
此外，我一直读到OpenID连接是建立在Oauth2上的，以便为Oauth2提供身份验证机制。是对的吗？
浏览 3提问于2017-11-23得票数 1
回答已采纳
1回答
我已经读了好几个月了，看起来整件事都可以集中在我下面总结的内容上。我正试图达到最理想的境界：
OAuth2
OpenID连接
水疗中心/移动客户
JWT
以上部分涉及到具有银行级安全质量的解决方案。所以这似乎是有意义的。
在不使用服务器端会话和cookie的情况下使用，因为这个OAuth流比隐式流更安全。
不要创建服务器端会话或cookie(此外，请记住我的cookie，以确定客户端以前是否已经过身份验证)。这是更好的缩放和整体简单性。
将JWT / OpenID连接令牌返回到客户端，以便客户端可以使用它来发出API请求并在客户端内作出授权决策。(我认为这就
浏览 1提问于2017-10-06得票数 5
回答已采纳
1回答
我正在实现oauth2授权服务器。
当使用oauth2交换刷新令牌来访问令牌()时，我的客户端--一个在实现拦截器方面遇到困难的移动应用程序(由于许多原因)。
与以前一样，我的客户端执行令牌交换流()，访问令牌存储在数据库中，因此我决定返回当前访问令牌(仅当它仍然有效时)，而不是每次接收刷新令牌时都发出新的访问令牌。
访问令牌的生存期很短(约5分钟)，用户可以同时撤销访问令牌和刷新令牌。
但这一决定不利于rfc6749，即新访问令牌的状态。
授权服务器对客户端进行身份验证并验证刷新令牌，如果有效，则发出一个新的访问令牌(并且，还可以选择新的刷新令牌)。
我想知道这个决定会不会导致什么问
浏览 3提问于2020-11-21得票数 0
2回答
我有一个授权服务器和多个使用OAuth2的资源服务器。所有这些都是使用Spring Security OAuth2实现的。我也有前端客户端，它使用授权代码流生成令牌。
我的情况是，如果刷新令牌的有效性是2小时，而访问令牌的有效性是1小时。首先，获取令牌没有问题(这两个令牌都是新的。1小时后，访问令牌过期。现在假设应用仅在另一个30分钟(经过1.5小时)之后使用现有的刷新令牌来重试新的访问令牌，并且生成新的访问令牌，其有效期为1小时，其比刷新令牌多出30分钟。在前端，我已经在cookie中存储了令牌，刷新令牌在30分钟后被删除。当我再次尝试使用身份验证码流获取令牌时，spring oauth2服
浏览 44提问于2021-03-07得票数 1
我已经设置了这个包来实现Oauth2身份验证。
它非常适合访问令牌生成和具有过期时间的刷新令牌生成。
但是，当我使用grant_type = refresh_token生成新的访问令牌时，它也会生成新的刷新令牌，并使旧的令牌无效。因此，在这种情况下，刷新令牌从未过期，因为它生成了新的令牌，并且用户永远不会被注销。
浏览 10提问于2022-07-05得票数 0
2回答
我使用oauth2和LDAP对API进行授权和身份验证。身份验证流程如下所示。
用户向服务器发送LDAP用户名和密码(密码大类型)。
服务器验证与LDAP服务器通信的密码，如果有效，服务器将返回访问令牌和刷新令牌。
用户一直使用访问令牌访问API，直到过期为止。过期时，可以使用刷新令牌获得新的访问令牌和新的刷新令牌。用户可以一直访问API，永远更新令牌。
的另一个要求是在更改用户密码或当用户在LDAP服务器中禁用时使令牌无效。有这样的事吗？
到目前为止，我尝试了以下方法：
在最初用户发送LDAP密码哈希时，将其存储在服务器中。刷新令牌时，从LDAP服务器获取用户的密码哈希，并将它们与保存在服务
浏览 0提问于2019-03-16得票数 2
1回答
我正在开发一个聚合应用程序()，在那里我使用OAuth2流，获取访问+刷新令牌。我看了一下，但是看起来它只适用于定制的AAD应用程序(而不是聚合的)。
我想了解几件事：
web身份验证场景的刷新令牌(默认情况下)的生存期是多少，在这里我们可以安全地将令牌存储在服务器上？
有任何方法来改变默认的生命周期吗？
浏览 4提问于2017-12-21得票数 0
2回答
我正在尝试构建一个IFTTT服务并将其连接到我的Firebase后端。
我需要对用户进行身份验证，如IFTTT文档：中所示
IFTTT的协议支持OAuth2身份验证，包括如果愿意的话支持刷新令牌。
您的服务API应该使用访问令牌进行身份验证，并将其作为身份来源。单个访问令牌应该对应于服务上的单个用户帐户或资源所有者。
如果使用刷新令牌，则它们必须是不过期的。如果不使用刷新令牌，则访问令牌必须不过期。
但我似乎只能从Firebase获得短暂的访问令牌。我可以从哪里或者如何从Firebase auth SDK中生成这样的令牌？
回复@FrankvanPuffelen的最新消息：
我将创建
浏览 2提问于2018-12-22得票数 2
回答已采纳
2回答
我正在创建一个node.js应用程序，它将每天更新播放列表(由我拥有凭据的帐户所有)。根据Spotify文档，要向播放列表()添加曲目，必须使用oauth2提供授权。
我正在努力寻找一种完全没有重定向/等的服务器端的方法。似乎如果我可以得到一个刷新令牌，我就可以直接使用它？
我一直在研究spotify web api node module ()、oauth.io和spotify api。
任何想法都将不胜感激！只有一个帐户必须进行身份验证，因此它可能是硬编码的，至少现在是这样。
浏览 0提问于2015-07-08得票数 6
我有一个Web应用程序，它目前使用OAuth2来验证使用他们的Google帐户的用户。这个流程是非常标准的:用户登录到Google，web应用程序得到一个回调，检索用户身份并将其存储在会话中。
现在我需要创建一个附带的Chrome扩展。这个扩展需要访问下面的web应用程序，所以它需要对这个应用程序进行身份验证。我使用配置了我的扩展，但是在实验中，我意识到这不是我所需要的。由于它使用了OAuth2隐式流，所以它不返回可以在服务器端验证的令牌。这个流程只适合在客户端使用Google，这不是我的用例。本文档(以及我在Web上发现的其他内容)主要关注两个可能的案例：
我们希望在扩展端(chrome
浏览 1提问于2018-05-25得票数 12
嗨，我对Spring boot和Oauth2真的很陌生。我需要了解如何使用Oauth2身份验证、刷新令牌和访问令牌对Spring boot web服务进行身份验证。同样，我还需要知道如何动态限制不同用户的访问(访问资源)。我在网上搜索了许多文章，结果没有什么我真正需要学习的东西。我不需要与facebook或谷歌SSO配置。我想知道如何制作我们自己的授权服务器。
任何人可以帮助我指导或发送一个有用的教程，帮助我学习的链接。
谢谢。
浏览 2提问于2017-11-05得票数 3
我正在尝试通过Azure中的powershell函数应用程序为用户实现OAuth2身份验证。通过阅读，它特别建议将刷新令牌保存在应用服务器上：
安全地保存refresh_token，这样您的应用程序就不需要提示用户再次授权。访问令牌的过期相对较快，不应持久化。
存储刷新令牌的最佳实践是什么？我可以想出许多方法，但恐怕我会做一些幼稚的事情。
浏览 1提问于2021-04-22得票数 1
在我们的python应用程序中，我们使用Exchange命令行管理程序cmdlet来执行一些任务。(实际上，python应用程序运行.Net应用程序，它调用。)目前，我们在New cmdlet中使用基本身份验证。另一方面，我们已经为不同的API和资源获取了OAuth2访问令牌。现在，我们希望在中使用OAuth2身份验证。
我们看了一下这个article1。
然而，我们有几个问题：
是否有一种无需使用ADAL和MSAL来获取访问令牌的方法？
是否有一种使用刷新令牌获取新访问令牌的方法？
似乎没有机会使用外部(系统)浏览器，不是吗？提前谢谢你。
浏览 2提问于2020-05-23得票数 0
回答已采纳
我有一个授权服务器，它也为我提供了一个带有刷新令牌的访问令牌。
我可以使用访问令牌(如典型的Oauth2流解释)获得受保护的资源，还可以通过刷新令牌获得新的访问令牌。在这一点上，一切都好。
但是，我也可以使用刷新令牌获得受保护的资源！在Oauth2中正常吗？这两种行为都有刷新令牌吗？
谢谢
浏览 0提问于2015-10-14得票数 0
回答已采纳
1回答
用SPA中的OAuth2来记住我
、、、、
我知道OAuth2和OpenID的概念。在我们的应用程序中，身份验证是通过OKTA进行的，我们在响应中接收访问令牌。我们的架构是一个微服务体系结构，我们在前端使用EmberJS。
我们必须实现remember-me功能，它将使用户在接下来的30天中保持登录。我对此做了一些研究，得出了一些能满足我的要求的观点。
让用户会话在OKTA活动30天。
根据访问令牌的过期时间定期刷新访问令牌。
如果关闭浏览器，这种刷新将如何工作？假设用户登录并关闭浏览器，3天后重新打开它。
浏览 0提问于2019-09-02得票数 2
回答已采纳
我想在我的网络服务中使用OAuth2验证安卓应用程序。经过一些研究，我知道我应该使用/oauth/authorize端点，它为我提供隐式身份验证。但是，在重定向到登录页面并成功登录后，服务器最终返回访问令牌。过期后，用户必须重新登录。这是我的场景中的一个问题，我也希望获得刷新令牌，以便能够使用它，以便在旧令牌过期时获得访问令牌。使用spring OAuth2可以实现这样的场景吗？
浏览 24提问于2016-08-31得票数 0
我有一个移动应用程序，它使用我的Spring后端来进行身份验证和访问数据。Spring应用程序的一部分使用OAuth2从资源服务器访问数据。我偶然发现了一个 for Spring，它发挥了它的魔力，而且一切都是凭空捏造的。
当我试图弄清楚这个库是如何工作的时，我似乎找不到它处理刷新令牌的方法的答案。我知道oauth2client绑定到每个用户的会话，但是当会话结束时会发生什么呢？访问和刷新令牌不会丢失吗？
我在为数据库中的每个用户寻找持久刷新令牌的方法，但在库中没有找到对此的任何支持。这让我想知道我是否必须自己实现它，或者是否有必要这样做。
如有任何建议，敬请谅解！
浏览 2提问于2019-10-14得票数 0
我将AD FS 2016配置为使用带有PKCE的授权代码授予通过OAuth2/OpenID连接来支持“本机应用程序”的身份验证。我创建了一个依赖方，并通过以下设置配置了令牌生存期(用于测试)：
Set-AdfsRelyingPartyTrust -TargetName MyRPT -IssueOAuthRefreshTokensTo AllDevices -TokenLifetime 3
Grant-AdfsApplicationPermission -ClientRoleIdentifier MyClient -ServerRoleIdentifier MyRPT -ScopeNames
浏览 0提问于2021-09-21得票数 3
回答已采纳
我不清楚，为什么oauth2中存在刷新/访问令牌概念，如果端点与中多次描述的相同(授权)服务器。
资源所有者在没有共享凭据的情况下授权任何第三方组件的第一个授权步骤是oauth2的基本思想。使用授权令牌生成访问和刷新令牌只是另一个级别的授权间接imho，但没有增加安全性。
由于授权服务器是相同的，访问令牌与授权令牌和刷新令牌一样敏感，因此我将其称为不必要的复杂性。
对我来说，唯一有意义的解释是，如果有人窃取了访问令牌，客户端就能够请求一个新的访问令牌。但有人怎么把它加固的呢？如果它是中间的一个人，那么当客户端请求一个新的令牌时，他也有刷新令牌。
我的问题是:为什么授权服务器不只是返回一个可以被
浏览 2提问于2015-09-18得票数 3
回答已采纳
1回答
我是oAUth2的新手，我正努力把一些事情弄清楚。
我理解oAuth2所涉及的基本原则，但我不知道如何在我的情况下实现它。
我正在编写一个应用程序，它代表用户自动执行手动过程并执行一些任务(更新/请求status...etc)。我们连接到的API使用oAuth2授予我们的应用程序权限。当用户与我们一起创建一个新帐户时，我们计划让用户授予我们的应用程序权限。
据我所知，用户将请求提供给我们的应用程序的身份验证代码。然后，我们的应用程序将使用身份验证代码生成访问令牌。
我们只想这样做一次。然后充当用户发送和接收通知，而不必让用户使用他们的凭据登录服务。
由于auth代码和auth令牌过期，我不知道
浏览 1提问于2014-03-19得票数 3
回答已采纳
第三方应用程序是否可以逻辑地使用Touch ID对使用OAuth2的web服务进行身份验证？
假设我拥有一个需要使用OAuth2进行身份验证的web服务。它支持两个 (虽然我可以在必要时增加对其他赠款的支持)。
第三方有一个使用此web服务的移动应用程序。它打开一个本机web视图进行身份验证，并在其中加载我的auth URL。用户在我的域中输入他们的用户名/密码，然后我将一个OAuth令牌返回给应用程序。
如果这个应用程序想要实现Touch ID来加速身份验证，有什么方法可以用OAuth2?来实现呢？
我的理解是，OAuth2隐式和auth代码授权的目的是防止父应用程序访问用户的凭据。它只能访
浏览 3提问于2017-08-22得票数 7
我有一个web应用程序，它使用OAuth2的进行身份验证。
我希望能够使用刷新令牌长时间保持我的会话活动。但是由于我不能在web应用中安全地存储client_secret，所以我不能使用传统的。
使用代替client_secret是否安全，或者这样做会不会失去某种级别的安全性？
浏览 0提问于2017-08-29得票数 2
我有两个Spring应用程序:身份验证服务和业务服务。
当When服务用户在身份验证服务中进行身份验证时，他会得到一个access_token和一个refresh_token。他可以通过向服务发送access_token来刷新他的refresh_token。该服务实现AuthenticationProvider，在此设置身份验证的详细信息：
@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
UsernamePasswo
浏览 5提问于2016-03-30得票数 4
回答已采纳
1回答
我可能混淆了概念，但我一直在讨论应该实现摘要身份验证的。
使用OAuth2时，我认为应该对auth密钥进行散列处理，并且只在身份验证域中发送。
如果有区别的话，我使用的是JavaScript客户端，接口是用JSONRPC服务器端公开的，而OAuth2是用Facebook完成的。
我应该在文摘域内协商OAuth2吗？
浏览 2提问于2012-07-17得票数 0
回答已采纳
因此，我试图在我的本地移动应用程序中使用谷歌登录和苹果登录，这也是我自己的后端服务器。我认为我掌握了OAuth2流和OpenID连接后面ID令牌的概念。我唯一的疑问是，我是否可以/应该使用访问/刷新令牌对来授权对我自己的端点的访问？在苹果的文档中，这一点并没有明确说明，在谷歌的网站上，他们提到你可以使用它来访问Google，但我没有发现你可以将它用于你自己的后端服务器。如果不是，应该如何处理(在验证授权服务器的ID令牌之后生成我自己的访问/刷新令牌对)？
请注意，我只需要通过这些平台对我的用户进行身份验证，我不希望访问其他Google (目前而言)。
TL;DR:我可以使用Apple的/Goo
浏览 7提问于2022-11-16得票数 1
回答已采纳
我有一个带有OAuth2授权服务器的系统。它分发JWT访问令牌和刷新令牌(后者仅用于移动应用程序客户端)。
我们不持久化访问令牌(与JWT一样正常)，但我们确实将(散列)刷新令牌与一些元数据一起保存，以便能够撤消它们，以便用户可以注销其他设备。我们还只允许对刷新令牌进行一次使用，新请求还提供了一个新的刷新令牌。
OAuth2登录服务器本身对会话使用常规基本auth。用户希望能够在这里注销(单个设备/客户端)。因此，当然，我必须使会话本身失效。但理想情况下，我希望删除此客户端仍然具有的刷新令牌。问题是我不知道刷新令牌。理论上，一个特定的用户可以通过他们的代码请求请求其中的多个。刷新令牌通常也不会
浏览 0提问于2019-10-22得票数 1
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM活动推荐
腾讯云开发者
