database - 安全存储 OpenID 标识符和 OAuth token

Question

我正在创建一个将 OpenID 登录和 OAuth token 用于 Youtube 的网络应用程序。我目前在数据库中以纯文本形式存储 OpenID 身份和 OAuth token / token secret 。

将这些值存储为纯文本是否不合适？我可以对 OpenID 标识符使用单向加密，但我不知道这是否有必要。对于 OAuth token ，我需要使用双向加密，因为我的应用依赖于获取 session token 用于某些用途。

OpenID身份是否需要加密？有人可以使用它来访问用户的帐户吗？

Answer 1

首先，有一个已注册的应用程序，它具有consumer_key 和consumer_secret。

当用户验证并“允许”您注册的应用程序时，您会得到:一个 access_token，它被认为是用户的“密码”，并且允许您的应用程序代表用户执行操作。

因此，如果用户没有 consumer_key 和 consumer_secret，那么仅从您的数据库中获取用户的 access_token 将无济于事以获得完整的访问权限。

服务提供商根据要求比较所有 4 个参数。在存储之前加密这 4 个参数并在响应之前解密它们会很聪明。

这正是您需要代表用户更新或更改用户的资源所有者的时候。要让用户在您的网站上保持登录状态，请使用 session 。