oauth - 存储位置 - OAuth 2.0 中的访问 token 和刷新 token

Question

我是 OAuth 2.0 的新手，我想知道在通用电子商务网站中存储访问 token 和刷新 token 的最佳实践/位置是什么。

问题1:
访问 token 和刷新 token 应存储在网站中的何处？ (cookie、网络存储或本地存储)。像 google、dropbox 这样的大公司在哪里存储访问 token 和刷新 token ？

问题2:
如果刷新 token 存储在客户端(以台式机/笔记本电脑中的浏览器为例)，是否有人在该设备上拥有物理增益，能够获取刷新 token 和设备信息并使用它在其他地方生成访问 token ？

问题3:
我看到一些帖子建议客户端永远不应该存储和了解刷新 token 。那么，这种情况下刷新 token 应该存储在哪里以及如何重新验证呢？

Answer 1

A1:访问 token 的生存时间比刷新 token 短得多，您可以将刷新 token 存储在本地存储甚至服务器端的其他安全存储中；对于访问 token ，网络存储和本地存储都可以；在 cookie 中存储访问 token 没有多大意义

A2:是的，因此刷新 token 不应存储在客户端；

A3:存储在服务器/服务端