ruby - 从 OAuth 安全存储 token / secret /等的正确方法？

Question

我刚刚开始研究 OAuth，它看起来非常好。我有 oauth with twitter working现在在 ruby 中。

现在我想知道，在我的本地数据库和 session 中存储响应的推荐安全方法是什么？

• 我应该储存什么？
• 我应该把它存放在哪里？

这个例子twitter-oauth-with-rails app在session中存储了一个user.id，user表有token和secret。但这似乎真的很容易破解并通过传递大量测试用户 ID 来获取 secret ，不是吗？

Answer 1

如果没有您的 Twitter 应用程序的消费者 key / secret ， token 将毫无用处，因为它们对于每个应用程序都不相同，但取决于消费者 key / secret 。

要获取 session 变量，您必须猜测 session ID，这并不容易完成。

如果您愿意，可以将这些 token 存储在 session 中，但我建议将用户 token 与所有其他用户数据一起存储在数据库中，以便您的 session 仅包含用于识别系统中用户的数据。

更新:我不确定我是否正确理解了您通过猜测 ID 从数据库访问 token 的意思。

您是否有适当的身份验证，以便用户必须输入一些凭据才能访问他们的数据？您应该像存储用户电子邮件地址或密码一样存储 token ，并且只有经过身份验证的用户才能访问它。