Python:将令牌存储在内存中
关于Python将令牌存储在内存中的问题，这里是一个完善且全面的答案：
Python是一种高级编程语言，它具有简单易学、灵活、易于阅读和编写的特点。在Python中，可以使用内存来存储令牌，这样可以在程序运行时快速访问令牌，而不需要从文件或其他存储介质中读取。
在Python中，可以使用变量来存储令牌。例如：
access_token = "your_access_token_here"这样，在程序运行时，可以直接使用access_token变量来访问令牌。但是，需要注意的是，使用这种方式存储令牌存在一定的风险，因为令牌可能会被其他程序或恶意用户获取。因此，在使用内存存储令牌时，需要确保程序的安全性和数据保护。
推荐的腾讯云相关产品：
- 腾讯云API网关：可以帮助用户管理API、控制访问权限、监控API调用情况，并提供API调用统计和分析功能。
- 腾讯云云市场：提供了丰富的云产品和服务，可以帮助用户快速构建自己的应用程序。
- 腾讯云对象存储：可以帮助用户存储和管理文件、图片、音视频等各类文件，支持高并发、低时延、高可靠等特点。
产品介绍链接地址：
相关·内容
我在跟踪这个。
在那篇教程里，
，把它保存在饼干里怎么样？
在客户机上创建cookies以保存JWT也很容易使用XSS。如果它可以从你的应用程序之外的Javascript读取到客户端，那么它可能会被偷。您可能认为HttpOnly cookie (由服务器而不是客户端创建)会有所帮助，但cookie很容易受到CSRF攻击。需要注意的是，HttpOnly和合理的CORS策略不能防止CSRF表单提交攻击，使用cookie需要适当的CSRF缓解策略。
因此，作者将JWT保存在内存中(变量)。
但是我在这个上看到javascript可以读取其他变量。
当攻击者能够在网站上运行Javascript
浏览 1提问于2020-03-06得票数 4
我是一个C#开发人员，负责将一些已部署的C# Azure函数(主要是webhooks / SB)转换为C#。
我正在挣扎于python等效于依赖注入的概念。
例如，一个api客户端类不断调用某个第三方API来推拉数据。在.NET中，如果我有一个需要使用这个api客户端的web钩子函数，我将在startup.cs类中启动一个单例服务，并将它注入到我的蔚蓝的web钩子函数中。这是有利的，因为我可以处理令牌刷新和服务类本身之外的内容，并将令牌存储在内存中，而不是每次触发web钩子时都必须重新创建api客户端类的实例。
我如何在Python中做到这一点？或者，在类似的环境(Azure函数)中，在内存中
浏览 3提问于2022-08-10得票数 0
我使用了spring boot resttemplate，并将http通信委托给Apache HttpClient库。我在openshift中部署了服务A和B，它们需要与服务C交互。服务C位于Kong Gateway后面，身份验证基于SSO和身份服务器，该服务器提供JWT访问令牌和刷新令牌。
我的问题是关于从服务A或B到C的身份验证。在A或B中进行身份验证后，在A和B中安全存储JWT令牌的最佳机制是什么？我在考虑缓存，或者在服务A和B中，或者在数据库中，我知道对于每个服务，我们都需要单独存储令牌。永远使用刷新令牌，或者重新进行身份验证并每隔一段时间获取新令牌，这是一种好做法吗？
浏览 1提问于2020-03-15得票数 0
我刚接触OAuth 2.0，我想知道在通用电子商务网站中存储访问令牌和刷新令牌的最佳实践/位置是什么。
问题1：
访问令牌和刷新令牌应该存储在网站中的什么位置？(cookies、web存储或本地存储)。像google，dropbox这样的大公司在哪里存储访问令牌和刷新令牌？
问题2：
如果刷新令牌存储在客户端(在台式机/笔记本电脑上使用浏览器)，是否有人可以在该设备上获得物理收益，从而能够获得刷新令牌和设备信息，并使用它在其他地方生成访问令牌？
问题3：
我看到一些帖子建议客户端永远不应该存储和知道刷新令牌。那么，刷新令牌应该存储在哪里，在这种情况下如何重新进行身份验证？
浏览 4提问于2015-09-17得票数 11
2回答
最近，我需要构建一个简单的REST，并且我阅读了关于最佳实践的不同文章，以尽可能减少我的web应用程序的漏洞。在网上搜索时，我发现了关于如何实现JWT令牌的不同教程，每个教程在某些方面都是不同的，而且我也找不到一个很好的“通用方法”。最后，我实现了对我来说最合理的解决方案，但我想确认这是处理这种身份验证的最有效的方法。
在开始之前：
librariesCommunication 注意到CORS策略是实现来在客户机和服务器加密(HTTPS)之间签署使用“标准”的令牌。
#步骤1:身份验证后生成令牌：
512-bit)Furthermore i生成一个短暂的访问令牌(15分钟)和一个用HS256算
浏览 3提问于2021-01-28得票数 6
1回答
我使用的是jwt令牌和spring security。
在成功地生成之后，在登录时生成令牌并将其传递给对象中的Reactjs应用程序。我有一个问题，在注销时，i删除令牌，但是仍然使用相同的令牌，我可以通过Postman访问受保护的api。
因为我知道令牌是，不是过期的，但是如果用户继续交互，并且我保持很小的过期时间(比如5分钟)，是否可以重新发出新令牌。
浏览 0提问于2019-05-07得票数 0
我正在开发一个小型的自定义Oauth2授权服务器。我想要发送访问令牌在一个http仅Cookie到客户端。根据RFC6749的5.1，令牌必须位于"application/json“媒体类型的HTTP的实体主体中。示例
HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8
Cache-Control: no-store
Pragma: no-cache
{
"access_token":"2YotnFZFEjr1zCsicMWpAA",
"token_ty
浏览 0提问于2019-09-02得票数 0
我们有一个Spring3+ REST应用程序，其中我们使用一个令牌来识别传入的请求源。此令牌保存在内存中(在哈希图中)，并用于标识请求。当我们是我们的应用程序的多个实例(部署在不同机器上的多个tomcat实例上)时，我们如何在不同的应用程序节点之间共享/同步这个令牌？我们唯一的要求是在不同的节点之间同步这个令牌。
我浏览了一下，发现像Redis，memcached，zookeeper这样的apis/软件很少。我不能决定选择哪一个。
任何类型的建议/评论都是有帮助的。
致以问候，普拉莫德
浏览 7提问于2012-12-20得票数 1
回答已采纳
1回答
我用Swift 4编写了一个使用的应用程序。因此，我要求用户能够访问Discogs帐户上的个人数据，因此我使用对他们的API进行身份验证。目前，我能够启动auth流，登录并返回an oauthToken和oauthTokenSecret。
向他们的https://api.discogs.com/oauth/identity发出随后的请求，我会被返回一个用户对象，所以我很高兴现在我可以登录并发出经过身份验证的请求。
但是，我不明白当应用程序第一次启动时，我如何检查用户是否经过身份验证。目前，我没有存储响应，而是在嵌套回调中调用标识端点。
import UIKit
import OAuthSwif
浏览 3提问于2018-01-14得票数 1
回答已采纳
1回答
我有一个使用进行用户身份验证的应用程序。当用户登录应用程序时，后端返回access token和refresh token，我的问题是：
两个令牌必须存储在相同的存储/位置？中。
浏览 1提问于2021-05-13得票数 1
回答已采纳
我想知道如何处理JSON的大文件。
我不想将它们存储在内存中，所以我不想做JsonNodes，因为我认为将整个树存储在内存中。
我的另一个想法是使用TokenBuffer。不过，我想知道这是怎么回事。TokenBuffer也存储整个文档吗？有上限吗。我知道这是一种最佳表演，但如果我这样做的话：
TokenBuffer buff = jParser.readValueAs(TokenBuffer.class);
它似乎一次读完整个文档(我不想要)。
浏览 0提问于2016-03-03得票数 2
回答已采纳
python SDK中给出的访问cosmosdb帐户的示例仅使用masterkey；是否可以使用from msrestazure.azure_active_directory import MSIAuthentication或类似的东西(例如，允许MSI token auth into keyvault)访问表或SQL集合以进行cosmos的身份验证？ (很明显，python可以手动实现REST API用于令牌身份验证，只是想知道是否有SDK支持)
浏览 22提问于2019-02-27得票数 0
2回答
我使用Spring和支持在我的应用程序上实现OAuth2。
我可以生成令牌，当我向发出POST请求时，我得到一个有效的响应如下：
{
"access_token": "359e93b2-555a-477b-9a65-e5062314fc23",
"token_type": "bearer",
"refresh_token": "6fd1ae31-8129-4729-a86b-e756c453a58a",
"expires_in": 899,
&
浏览 4提问于2017-07-30得票数 0
回答已采纳
我构建了一个Rest，它通过使用JWT和刷新令牌来处理请求。但我不知道如何在客户端存储它。
我是否应该将两者都存储在带有httponly标志的cookie中呢？
我应该同时存储在cookie中还是存储在本地存储中，例如共享首选项(Android)？
我非常关心在客户端处理这些令牌的最佳实践是什么？
浏览 6提问于2020-07-15得票数 2
回答已采纳
我们有一个OAuth API，它提供了到期的令牌来验证应用程序中的REST。
我正在努力实现的
当应用程序在第一次请求通过时在服务器上运行时，从OAuth API获取过期令牌、到期日期并将其存储在应用程序的某个位置，并使用该令牌直到该到期日期，并在that.This令牌应在应用程序中全局使用之后请求另一个令牌，直到该令牌到期为止。
我做了什么，
设置一个方法，该方法将从Oauth获取令牌，并将其写入web.config文件，并在到期日期作为应用程序设置。每当请求到达REST时，它都会检查令牌是否可用，并且没有从web.config过期，并返回令牌。如果令牌不可用或过期，它将从OAuth API
浏览 0提问于2018-06-13得票数 0
我需要在我的next.js应用程序中的每个API请求中在API授权头中发送firebase用户令牌。
当前实现：
axios.interceptors.request.use(
async (config) => {
const token = await firebase.auth().currentUser?.getIdToken(true);
if (token) {
config.headers["Authorization"] = "Bearer " + token;
}
return config
浏览 4提问于2021-10-20得票数 0
回答已采纳
我已经将OIDC库集成到我的React Js单页面应用程序中。 如果我通过OIDC登录一个标签，并在浏览器的多个标签中打开同一个应用，oidc返回的access_token和id_token是在所有标签上都相同，还是在每个标签上是不同的？ 附注:我已经实现了单点登录(SSO)，它工作得很好。我很高兴能分享更多的代码片段。
浏览 22提问于2020-07-14得票数 1
1回答
在闭包中存储JWT令牌
、、、
我听说，建议按以下方式存储JWT令牌：
应用程序内存中的access_token (例如，给出了cookie条目中的closures)refresh_token (HttpOnly) )。
目前，我的access_token存储在localStorage中，用于检查授权状态：
Vuex中的isLoggedIn: state => !!state.token
refresh_token存储在cookie中。
我想摆脱这一切。我想知道如何仍然将access_token存储在闭包中？
浏览 0提问于2021-11-16得票数 2
1回答
我正在使用Axios向服务器发送请求。这是我使用的实例：
export default axios.create({
baseURL: "https://wagal.com",
headers: {
"Content-Type": "application/json; charset=utf-8",
"Authorization": `Bearer ${store.getState().auth.userData.token}`,
},
});
下面是我如何使用上面的实例来启用和禁用2fa：
funct
浏览 8提问于2021-09-13得票数 0
我有一个websocket服务，以前使用python websocket包编写，可以访问django模型。是否可以在不使用django通道的情况下检查消息是否来自经过身份验证的用户？
浏览 1提问于2020-05-26得票数 0
1回答
我试图弄清楚如何使用React和Node来实现身份验证/授权，使用httpOnly cookie，具有可伸缩性。我读过JWT可以通过使用刷新令牌和httpOnly cookie来解决这个问题。
对我来说，首要的问题是如何使它以正确的方式工作，因为 cookie是通过JS无法访问的。的第二件事是，我希望我的前端和后端生活在分离的、被篡改的容器中，但就我所得到的结果而言，httpOnly cookie只在相同的域(和相同的端口).*更新的标题中添加，实际上，我刚刚读到这不是真的，我可以在同一台主机上使用httpOnly，但是使用不同的.*cookie。我记得它是关于什么的: cookie上的
浏览 3提问于2021-03-26得票数 1
在处理基于浏览器的应用程序时，已经就安全存储JWT令牌的主题提出了许多问题。大家的共识似乎是，应该使用http专用的安全cookies。但是，在存储JWT令牌时，似乎存在许多变化，因为这涉及到短暂的访问令牌和更长时间的刷新令牌。
我确定了以下几种不同的变化：
1.将JWT访问令牌和刷新令牌存储在仅限于http的安全cookie中。
优点：
访问令牌和刷新令牌不能从Javascript访问。
缺点：
引入CSRF漏洞，因此也必须添加CSRF令牌。
这里的顶部建议添加CSRF令牌：
2.在内存中存储JWT访问令牌，并将刷新令牌存储在仅限于http的安全cookie中。
优点
浏览 6提问于2021-12-10得票数 5
1回答
存储O-Auth令牌
、、、
我对O-Auth完全陌生，但我刚刚实现了我的第一个O-Auth流程，即从外部应用程序接口获取访问令牌，以收集有关使用NodeJS和Express的用户的信息。外部API生成访问令牌和刷新令牌，因为访问令牌仅持续24小时。
我想知道存储API访问和刷新令牌的最佳实践是什么，因为即使用户不访问我的应用程序以在后台收集信息，我也必须使用它们。它是否仅仅是一个数据库，然后在应用程序的服务器端查询数据库以访问API？然后刷新令牌并从数据库中更新条目？
欢迎任何建议！
浏览 2提问于2020-09-28得票数 0
我试图使用Spotipy访问用户的Spotify库，但遇到了一些麻烦。作为背景，我使用的是水瓶、SQLAlchemy和水瓶登录。
我看了一下github上的来开始工作，但是这个不太适合我，因为如果使用缓存，所有用户都可以访问缓存其令牌的用户的播放列表，而且由于存在缓存的令牌，所以第一个用户之后的任何用户都无法登录到Spotify。下面是一些初步的设置：
sp_oauth = oauth2.SpotifyOAuth(os.environ['SPOTIPY_CLIENT_ID'],
os.environ['SPOTIPY_CLIENT_SECRET'],
浏览 3提问于2016-11-13得票数 3
1回答
Asp。NET5.JWT令牌撤销
、、、、
我在我的应用程序中使用了jwt令牌、中间件和Asp.Net.OpenIdConnect.Server。事实上，它工作得很好。但我对一件事感到困惑。如果我使用令牌，我不能立即批准新的声明或禁止我的用户。例如。我给了我的用户访问令牌和刷新令牌，访问令牌在2天内过期，刷新令牌在2周内过期。然后我给这个用户管理员权限。但他只有在当前访问令牌过期的两天后才会知道这一点，并且身份验证服务器将使用刷新令牌给他新的令牌。在下一次请求时，我如何立即给他新的权限？
我明白，我需要检查每个请求的数据库，并给用户新的访问令牌，如果需要的话。但是在aspnet 5中我应该在哪里做呢？也许对于这样的事情有一些好的实践？
浏览 2提问于2016-03-03得票数 3
我是一个网络应用新手。我知道XSRF保护问题是这样问的，但是这些问题是特定于特定语言(例如RoR/Python)或库(jQuery)的。我想知道如何在我的web应用程序中实现XSRF保护。
我的理解是，XSRF保护依赖于使用在发出HTTP请求时必须进行身份验证的唯一随机令牌。我有以下问题：
何时应该初始化身份验证令牌？应该在页面加载(即GET请求)上设置它吗？
应该在哪里初始化令牌？应该在输入字段、cookie或请求头中设置它们吗？这个随机值是如何产生的？如何持久化此值以便用于比较？
什么时候应该验证身份验证令牌？如何比较身份验证令牌？如何将这些令牌与我坚持的令牌进行比较？
浏览 0提问于2013-08-03得票数 0
2回答
我正在编写一个使用REST与远程web服务通信的WPF应用程序。应用程序要求用户输入他们的用户名和密码，因为REST的某些特性需要身份验证。我想知道如何在我的WPF应用程序中安全地存储密码。在服务端，我通过使用随机盐将其盐化，然后使用SHA256对其进行散列来存储它。我是否应该创建一个REST命令，返回安全密码(即哈希密码和咸密码)，并在使用REST时将其提供给服务器？
浏览 3提问于2015-01-17得票数 1
回答已采纳
我遵循了这里的示例应用程序：
python使用基于flask的会话来存储(缓存)从Azure身份验证服务返回的值。
问:为什么web应用需要在自己的存储上存储令牌？
为什么web应用程序不会简单地将访问令牌传递给用户的浏览器，该令牌将在后续请求中以cookie或Authorization头的形式发送，然后对于每个请求，web应用程序将参考Azure API以检查令牌是否有效？
假设web应用程序只需要身份验证，那么msal.TokenCache的意义何在，我可以避免使用它吗？
浏览 2提问于2020-03-29得票数 0
1回答
我们正在创建一个带有标识的Asp.NET MVC-5应用程序，并且使用OAuth2通过WebAPI访问数据库。当用户使用用户名和密码登录时，MVC应用程序使用此信息登录到WebAPI，以请求第一个access_token和refresh_token。这些令牌存储在以用户的用户名为键的字典中的MVC应用程序中。令牌不在MVC应用程序之外公开。然后，我们使用用户的用户名从字典中检索每个用户发出的请求中的令牌。
我们在MVC应用程序中使用Cookie身份验证。MVC应用程序将每隔一段时间(大约每周)重新启动一次，这意味着我们将失去存储在内存中的访问和刷新令牌。
我的问题：
我们使用User.Id
浏览 2提问于2015-08-28得票数 3
回答已采纳
1回答
如我们所知，OpenIDConnect涉及三个令牌：
默认情况下，访问令牌是一个随机的唯一字符串，未使用JWT进行编码。ID令牌使用JWTRefresh令牌编码。
我们通常将ID令牌放在cookie中的httpOnly模式中。
我的问题是，推荐的访问令牌存储在哪里？当然，您需要将它们存储在应用程序端。
浏览 3提问于2021-01-20得票数 3
回答已采纳
1回答
我已经在ASP.NET框架中实现了刷新令牌，如下所示。它不需要在任何地方保存刷新令牌。我可以在ASP.NET核心JWT中做同样的事情吗？我想要的是不将刷新令牌保存在数据库或其他任何地方。 public class RefreshTokenProvider : IAuthenticationTokenProvider
{
public async Task CreateAsync(AuthenticationTokenCreateContext context)
{
Create(context);
}
public async Task Re
浏览 12提问于2019-12-30得票数 0
我们正在用react js开发一个web应用程序，并使用Odoo作为后端。
我的web应用程序将托管在abc.com上，后台是xyz.com。
现在，当我在后端调用login API时，它会给出一个JWT令牌作为响应。现在我的问题是，我们应该在哪里存储这个JWT令牌，以供后续使用。
我发现几乎没有类似的问题，但我不确定它们应该存储在我的用例中的哪里。有没有人可以建议我们应该把它存储在客户端的什么地方？
提前谢谢你！
浏览 2提问于2021-09-23得票数 3
因此，我正在将google驱动器应用到我正在构建的应用程序中。此应用程序将在客户端计算机上运行。在用户进行身份验证之后，我将在google凭据中存储刷新和访问令牌。但是，为了防止用户每次进入应用程序时都必须进行身份验证，我计划在加密文件中存储访问令牌和刷新令牌。
我的问题是
如何将侦听器附加到google凭据，以便每次更新令牌时运行，以便更新加密文件中的令牌。
我真的不希望有一个单独的线程，只是检查凭证是否已经改变，但如果这是最简单的方法，我可以这样做。
谢谢。
浏览 1提问于2017-07-30得票数 0
2回答
存储外部访问/刷新令牌
、、、、
我创建了一个Laravel应用程序，它请求我的用户使用oAuth (授权代码)访问外部应用程序。很好，我能够将外部应用程序连接到我的用户帐户。但是，外部API为我提供了访问和刷新令牌。访问令牌显然过期，刷新令牌不过期。
一旦用户授予我访问权限，我就需要将这些令牌存储在某个地方。特别是刷新令牌。一旦访问令牌过期，我需要刷新访问令牌。我的“问题”是，我不太确定在哪里存放这些代币。我想出了几个选择：
将加密令牌存储在数据库中，并链接到用户
将它们存储在缓存中
存储在Redis数据库中
..。
有很多选择，但我正在寻找最安全的一个。将加密的令牌存储在数据库中不是我最喜欢的选择，
浏览 3提问于2020-09-25得票数 2
回答已采纳
因此，使用基本身份验证，我可以看到简单地使用UserDetailsService实现的价值，它基本上只是加载用户并确认它们是经过身份验证的。
然而，我现在想使用oAuth2，并且不确定我在这个问题上的想法是否完全错误。使用oAuth2不会消除对UserDetailsService实现的需求吗？因为从本质上来说，授权服务器是负责检查用户是否存在的(使用Resource密码流)，然后向用户发送一个JWT。
一旦用户拥有了这个访问令牌并可以与每个请求一起发送它，就必须有另一种方法将用户身份验证到AuthenticationManager中，而不是重复工作和检查，以确保UserDetailsServi
浏览 0提问于2017-05-26得票数 1
回答已采纳
这个快速入门代码处理刷新令牌吗？如果是这样，在哪里/如何进行？
我正在开发一个Python应用程序，它需要连续/不受限制地访问Gmail帐户电子邮件，所以我想确保我正在处理本页面中描述的场景：
具体地说，“如果你的应用程序需要离线访问，当你的应用程序第一次交换授权码时，它还会收到一个刷新令牌，用于在前一个令牌过期后接收新的访问令牌。你的应用程序存储这个刷新令牌(通常存储在服务器上的数据库中)以供以后使用”。
我不清楚快速入门代码是否/如何处理这个问题。谢谢!
浏览 1提问于2014-11-14得票数 1
我正在开发一个alexa技能，需要帐户链接。帐户链接成功前2次(启用技能-禁用它-再次启用技能)。只有当我在禁用技能后立即重新启用时，帐户链接才会失败。我使用“代码授予”类型。数据(在查询字符串状态/code/etc)被成功地重定向回amazon的重定向/返回url值。但是Amazon以一条消息结束帐户链接过程，该消息指出此时帐户链接进程失败。有人知道吗？非常感谢你的帮助。
浏览 3提问于2017-12-07得票数 0
回答已采纳
我使用jwt + oauth2 (在内存中)实现了spring引导。
这里，令牌位于内存中，而不是数据库中。
但是，当我使用tokenStore.findTokensByClientId(clientId)时，它在下面的情况下返回空白数组
示例
@Configuration
@EnableAuthorizationServer
public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter {
static final String CLIEN_ID = "vishvas
浏览 1提问于2019-04-22得票数 0
回答已采纳
1回答
我已经在我们的WebAPI应用程序中实现了基于OAuth令牌的身份验证，并根据数据库验证用户名和密码。但我们不会将访问令牌和刷新令牌同步到任何类型的数据库。这是代码，但是，我有一个问题，令牌值存储在哪里。
下面是生成令牌的代码
/// <summary>
/// Grant resource owner credentials overload method.
/// </summary>
/// <param name="context">Context param
浏览 1提问于2019-09-22得票数 0
2回答
假设我有一个非常长的字符串，由10^6个令牌组成(为了简单起见，令牌是一个空格分隔的单词，因此这个字符串被拆分为标记列表)。
现在我需要找到所有可能的重复序列和字符串中复制位置的开始。例如：
(括号实际上不在字符串中，它们只是为了说明位置)
this[0] string[1] is[2] test[3] to[4] check[5] duplication[6]
test[7] to[8] check[9] duplication[10] this[11] string[12]
==> at 0,11 - 2 tokens duplication
==> at 3,7 - 4 t
浏览 12提问于2022-10-25得票数 0
1回答
我正在构建一个使用用户访问令牌与Github、Trello和Jenkins集成的大型机器人。用户必须使用oauth进行身份验证才能接收访问令牌。接收到的令牌，我对其进行加密，并将其存储在mongoDB中。当用户提出请求时，hubot必须使用用户令牌调用特定的API (即)。因此，hubot必须从mongoDB检索用户的令牌，对其进行解密并在请求中使用它。上面的过程(关于检索令牌)每次用户从该API中询问某些内容时都会继续进行。
因此，我要问的是，是否有办法避免这个过程每次用户要求的东西。有什么办法让他们登录吗？类似于浏览器的特快会话。特快会话的问题是，我必须使用cookie，我想这是不可能的，
浏览 3提问于2017-08-10得票数 0
回答已采纳
通常，建议不要在本地存储中存储刷新令牌。Auth0文档建议不要这样做。
即使我知道潜在的威胁，但我不知道的是，对于如何存储这些令牌，在API服务器与客户端不同的用户会话持续时间内是否有其他选择。如果令牌只存储在内存中，那么用户每次关闭选项卡时都必须登录，然后再访问站点。
最后，我认为不管怎么说，刷新令牌旋转将减少令牌被盗的风险。因此，在这种情况下，上面的建议看起来不太有效。
浏览 0提问于2020-03-27得票数 5
2回答
本质上，我想知道的是，我是否希望在程序执行之间将数据保存在RAM中；就像在程序完成后，我是否可以将信息存储在RAM中，如果我在RAM中写下我要保存的位置。我可以这样做吗？
int *p = 10;
send_to_database(p); // Send the location in memory to some server
p = null_ptr;
del p;
The program finishes running
The program starts running again
int *p;
p = get_from_db(user_token);
我想我真正想知道的是，我
浏览 0提问于2016-04-21得票数 0
回答已采纳
1回答
我有一个水瓶应用程序运行在AWS使用的烧瓶-JWT-扩展。它为web应用程序提供REST调用。
正如我从文档中了解到的，令牌是生成并存储在内存中的。我正在考虑将它们存储在一个数据库或Redis中，或者存储在Flask应用程序的外部。其原因是为了支持负载平衡：
I假定，需要进行粘性会话，以确保客户端的令牌能够被正确地解码和分析，以确定我正在考虑将该应用程序放入analyzed中的有效性，这可能会在请求满足后删除JWT列表。
我的问题是：
是否存在此方案通常无法工作的原因？如果令牌存储在Flask应用程序之外，则不清楚如何覆盖本地令牌存储和访问外部存储介质。这能做到吗？
浏览 4提问于2020-01-31得票数 0
回答已采纳
1回答
我无法轻松地决定如何从后端接收刷新令牌和访问令牌，以及将其存储在何处。
我理解的身份验证过程如下。
XSS可以使用cookie进行保护。使用cookie的容易受到CSRF的攻击。然而，对于cookie，可能被窃取为'document.cookie‘。因此，在发出http请求时，使用'httponly‘选项来防止来自的访问总是包含在标头中，因此很容易受到CSRF的攻击。因此，登录时，“client.request刷新令牌”和“访问令牌”将在后端创建，存储在DB中，并使用访问令牌将api返回给，如果到期，则使用刷新令牌更新它。
正如我提到的许多文章一样，据说XSS将被cookies
浏览 4提问于2021-05-20得票数 0
回答已采纳
我已经开发了应用程序接口来生成JWT令牌，并托管到MS Azure App Services.From中。在过去的几个月里，我们已经发布了大约1,000,00令牌，现在我们想根据我们的业务需求从内存中清除/删除所有令牌。 如果我们不从内存中删除/清除令牌，它将仍然存在，因为我们发出令牌1年，它将消耗我们的内存长达一年。 我已经尝试了app服务的“重新启动”选项，但是在重启之后，之前生成的token仍然在内存中，我们可以访问这个JWT token。 请建议我们如何从MS App Services的内存中删除以前生成的令牌。 我们的主要目标是从MS AZURE应用程序服务中删除所有以前的令牌，并
浏览 15提问于2020-07-24得票数 1
1回答
我正在使用使用OAuth 2.0的API。它的流动情况如下：
在您的应用程序中，有一个按钮将您重定向到授权服务器(在我的例子中是API)。
您必须登录到API的网站并访问您的应用程序(按“允许”或“拒绝”按钮)，或者如果您已经登录，只需访问应用程序(按“允许”或“拒绝”)。
您将使用新的访问令牌重定向回应用程序，以进行API调用。
一切都对我有用，但我不明白的是如何处理给定的访问令牌，以便已经授权访问您的应用程序的用户不必再次授予访问权限。等他几天后再回来申请。它提供了糟糕的用户体验(没有人愿意一次又一次地授予访问权限)。
注:我正在与合作
浏览 1提问于2018-02-11得票数 9
我正在学习使用G+进行身份验证的教程。我有下面的路径来处理身份验证，并将凭据放到Flask会话中。(实际代码要长得多，同时还要检查错误。它可以在中找到。
访问路由会导致有关序列化的错误。我知道它正在尝试序列化一些它无法实现的东西。我如何找到它并修复它呢？
@app.route('/gconnect', methods=['POST'])
def gconnect():
oauth_flow = flow_from_clientsecrets('client_secrets.json', scope='')
oaut
浏览 1提问于2015-04-10得票数 3
回答已采纳
4回答
如何在PHP中创建不同会话之间的共享对象？
我在考虑使用文件或MySQL内存表。使用文件不是一个好的选择，因为它没有锁定，而且速度很慢。使用MySQL内存表是一个很好的选择，但是如何将类实例(对象)保存到表中呢？序列化对象并将其放入表中也很慢。
Option 1: MySQL memory table
Option 2: shm_attach,shm_detach,shm_get_var,shm_has_var,shm_put_var,..
Option 3: Memcache
问题是使用MySQL内存表需要查询。Memcache不包含在标准PHP安装中。要在Windows上使用shm_*函数
浏览 1提问于2011-11-18得票数 5
回答已采纳
是否有任何理由从一个设备注销删除用户的所有永久登录令牌(记住-我)？
例如，在我的例子中，用户可以从桌面和平板电脑登录，而从桌面注销的用户不应该导致删除tablet使用的remember令牌。
JdbcTokenRepositoryImpl中的当前实现只接受用户名：
public void removeUserTokens(String username) {
getJdbcTemplate().update(removeUserTokensSql, username);
}
因此，我创建了RememberMeServices和PersistentTokenRepository的自定义
浏览 5提问于2016-10-30得票数 1
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
云直播活动推荐
腾讯云开发者
