python - 是否可以将身份验证 token 存储在单独的文件中？

Question

我正在使用与 RESTful api 接口(interface)的 python 构建命令行工具。 API 使用 oauth2 进行身份验证。而不是每次用户运行 python 工具时都要求 access_token。我可以以某种方式存储 access_token 以便我可以使用它直到它的生命周期吗？如果是那么它有多安全。

Answer 1

您可以将访问 token 存储在用户桌面上的文件中。

您可以使用存储来做到这一点。假设您使用 oauth2client:

# Reading credentials
store = oauth2client.file.Storage(cred_path)
credentials = store.get()

# Writing credentials
creds = client.AccessTokenCredentials(access_token, user_agent)
creds.access_token = access_token
creds.refresh_token = refresh_token
creds.client_id = client_id
creds.client_secret = client_secret

# For some reason it does not save all the credentials,
# so write them to a json file manually instead
with open(credential_path, "w") as f:
    f.write(creds.to_json)

就安全性而言，我认为这里没有太大威胁，因为这些访问 token 将位于用户的桌面上。如果有人想要获得他们的访问 token ，他们将需要在该时间范围内对该文件具有读取权限。但是，如果他们已经可以这样做，他们很可能也可以使用您的脚本在每次通过身份验证时向他们发送用户访问 token 的副本。但是请轻信我的话，因为我不是该领域的专业人士。参见 information security stack exchange .

A post information security stack exchange中确实讲过这个:

these tokens give access to some fairly privileged information about your users.

但是，问题是针对数据库的。

总之，您可以将其保存在文件中。 (但请相信我的话)