存储通过客户端凭据oauth2流获得的访问令牌

Question

在机器对机器的oauth2令牌安全通信的上下文中，我想知道如何将访问令牌存储在后端应用程序上以供进一步使用（直到令牌过期）？

访问令牌是从授权服务器通过client_credentials oauth2流获得的，用于在资源服务器上（代表客户端）进行授权调用

将访问令牌存储在客户端上以便可以用于对资源服务器进行进一步调用而不为每次调用请求新令牌的最佳实践是什么？

Answer 1

在客户端存储不是最好的开始方法。但是，如果要执行此操作，则也应该使用CSRF令牌将该令牌添加到安全cookie中，这样就不能以其他形式提取访问令牌。另外，如果令牌在您认为还可以的时间内没有被使用，则最好设置一个超时时间。