php - 安全地存储用户凭证 token

Question

我正在编写一个服务，用户可以在其中使用 OAuth 登录另一个服务。我的服务的目的是在用户未登录时为他们做一些维护工作。因此，我需要保存他们的 OAuth token ，以便在用户未登录时可以使用它。如果用户已登录在，我可以使用用户的密码作为加密 key (每次询问；用户的密码仅存储为哈希)并存储加密的 token 。

但实际上，我需要 Web 服务能够在用户未登录时使用这些 token 。因此，我正在考虑将它们加密存储在数据库 (AES) 中，然后使用 key 来解密它们将需要被硬编码到应用程序中，或者从其他东西(用户名/电子邮件/散列密码的组合)派生，尽管该派生的逻辑仍然在源代码中。

鉴于这将用 PHP 编写，无法编译成隐藏 key ，我最好的选择是什么以使其尽可能安全？我的源代码中始终包含数据库凭据，这意味着如果有人可以获取源代码，他们可能会弄乱该数据库，但是手头有 OAuth token 意味着入侵者也可能会弄乱其他站点上的用户数据，如果我的遭到入侵，我想向我的用户尽可能多地保证这不会发生。

Answer 1

首先使用 OAuth token 的部分原因是它们可以被撤销。像保护任何其他特定于用户的数据一样保护 token ，这就足够了。如果您有理由相信您的用户数据在未来的任何特定时间点遭到泄露，请通知您的用户并要求他们撤销 token 。