javascript - 使用 REST 服务和 Javascript 存储 token 的 Linkedin 登录

Question

我正在尝试开发一个示例应用程序，该应用程序在客户端使用 Javascript 并使用其余的 Web 服务。我是 LinkedIn 和社交网络 API 的新手。我想首先设置 LinkedIn 登录信息，然后再设置其他社交网络。

Linkedin API 使用 OAuth2。我想用它来存储 token ，如果用户授权应用程序访问其一些基本数据，这些 token 就会给我们。

我正在考虑使用 REST API，以便可以为授权用户请求 token ，并通过开发的 RESTful Web 服务将它们存储在数据库中。我知道，但我们想利用我们现在拥有的东西。

上面的架构说明了我的想法。如果我错了请帮忙。

另一个问题是我想使用 token 来更新它或从社交网络获取一些数据。

Answer 1

您的场景可能存在一个严重的安全问题 - 如果您在第 3 步中不使用 https，则访问 token 将不安全。

您试图对案例使用错误的场景。 OpenID Connect(OAuth2 扩展)定义了以下身份验证场景:

1. 隐式流程 - 您在步骤 #1 和步骤 #2 中执行的操作。登录完全由客户端完成，访问 token 通过“#”URL 部分直接返回给客户端。 “#”URL 部分不会发送到服务器，即使您的页面是通过 http 加载的，也是安全的。
2. 授权代码流程分为两步:客户端启动登录以获取授权代码(一次有效)，然后将其交换为服务器端的访问 token 。访问 token 不应离开服务器端。

授权代码流还定义了刷新 token ，这些 token 可以存储在您的数据库中，并在它们过期后用于获取新的访问 token 。