OAuthトークンをCookieに保存することは悪い習慣ですか？

Question

OAuth 2トークンをCookieに保存することは悪いことですか？その場合、Webアプリの代替手段は何ですか？

Answer 1

私は絶対にそれをしません。セキュリティが関係しているときは、他人がアクセスできる場所に物を保管しないでください。したがって、特にクライアント側では、どこにも保存しないでください。

とはいえ、適切に処理されれば、それ自体は悪い習慣ではありません。それについて this の包括的な記事を参照してください。

Answer 2

Access_tokenをCookieに保存できるかどうかは、次の事項によって異なります。

1. Access_tokenは暗号化されたCookieに保存されていますか（暗号化されているはずです）
2. Access_tokenはベアラートークンであるため、ブラウザーフローに関連付けられていません。一般に、Cookieはブラウザの状態を維持するためのものです。したがって、トークンのライフサイクルがCookieと同じである場合は、それ以外の場合は先に進みます。ライフサイクルとは、寿命などです。
3. また、アクセストークンがIDトークンではないことも考慮してください。
4. アクセストークンは完全にクライアント側であり、サーバーは通常Cookieを使用してセッションを維持し、ほとんどの場合、一致するサーバー側セッションも維持します。

これがお役に立てば幸いです。

Answer 3

CookieのmaxSizeは4kbです。したがって、トークンに多くの情報を保存している場合、エラーが発生します。