Jeton purtător

OAuth2 definește un număr de grant fluxuri pentru diferite tipuri de clienti pe care le - am descris aici. Indicativele Refresh sunt destinate numai pentru clienții confidențiale cum ar fi aplicații web care trăiesc pe un server securizat.

Indicativul dvs. Unele biblioteci OAuth permit SPA sau alți clienți neconfidențiale pentru a obține un nou indicativ de acces vorbind la punctul final semn al serverului de autorizare folosind un jeton de sesiune într-un cookie.

Atâta timp cât cookie-ul este valabil, utilizatorul poate obține un nou indicativ de acces. După aceea, utilizatorul va trebui să re-autentifice.

Desigur, cookie-urile pot fi marcate în siguranță și numai http, ceea ce le face mai greu să fure. Dacă emiteți jetoanele JWT din același punct final de serviciu care consumă semnele de acces, ai putea avea clientul include o nDupă în cererea jeton pe care le hash și să includă ca o cerere în token-ul.

Clientul poate trimite JWT în antetul Autorizare și nonce într-un antet personalizat. Verificarea dvs. În jeton purtător fel, în cazul în jeton purtător jeton este furat este mai greu de a utiliza fără valoare nonce.

Cred ca purtător de jetoane nu sunt indexate poate partial, dar nu complet deoarece, în acest caz, acesta nu va fi posibil să-l decripteze și de a prelua utilizatorilor proprietăți de ea. Dar întrebarea ta pare a fi încercarea de a găsi răspunsuri la Purtător semn funcționalitate: să Presupunem că am pus în aplicare un furnizor de autorizare, pot furniza orice un fel de șir de purtător de semn? Poate jeton purtător un șir aleator? Nu trebuie să fie o codare base64 de unele atribute?

Desigur, într-un atac direcționat, nOdată ar putea, de asemenea, să fie furat.