我应该在哪里存储访问令牌和刷新令牌？

Question

我有一些与令牌和加密有关的问题。

首先是访问令牌：

无论各种攻击（您需要记住以便采取措施），您是否建议在客户端存储访问令牌？（localstorage / cookies）。

• 如果是，我是否需要加密它并将加密的令牌存储在客户端上。但是，因为我使用SSL，真的需要吗？您正在使用SSL来阻止MIM攻击。但是，由于您使用的是HTTPS，我们为什么还要加密访问令牌？

• 我的第二个问题与加密有关。对于SSL，我知道我需要一个证书（或自签名证书来在本地测试它）。但是，对于加密令牌，我是否需要相同的SSL证书，或者我可以使用RSACryproProvider生成一对公钥/私钥吗？

用于刷新令牌：

• 我认为最好的方法是在数据库中保存加密的刷新令牌。它可以是在数据库中读取/写入刷新令牌的实际API。但是，刷新令牌必须与一些用户属性即UserId一起存储，因此您可以根据用户ID，电子邮件等检索它。假设我使用UserId，我会加密它以及一些字符和日期并存储它在客户端上。你同意吗？此外，我正在考虑限制对该API的访问，以便它只能处理来自特定服务器或服务器（Web场）的请求。您对此方法有何看法？

我真的很感谢你的帮助，因为我真的想深入了解一些概念。如果有什么东西，我没有正确表达，请告诉我重新解释我的问题。

由于