azure - 使用 MS Bot Framework 将 JWT 保存在 UserState/Azure Blob 存储上是否安全？

Question

我有一个 API 服务，用户可以在其中管理待办事项，并且我想创建一个机器人，以允许注册用户使用我的 Slack 机器人在其帐户上创建待办事项。

我正在考虑的步骤是:

1. 我的机器人将向用户显示一条消息，要求他进行身份验证
2. API 将向用户的手机发送验证码
3. 用户将在与我的机器人聊天时编写该代码
4. 我的机器人将向 API 服务发出 HTTP 请求以验证该代码
5. 然后 API 将对用户进行身份验证并为该用户生成 JSON Web token 。
6. API 会将此 JWT 返回给我的机器人
7. 我的机器人将使用 Azure Blob 存储存储此 token 。

现在，当用户想要创建一个 ToDo 时，步骤应该如下:

1. 用户输入“明天支付账单”之类的内容。
2. 我的机器人将从 Azure Blob 存储中检索用户 JWT
3. 然后我的机器人将使用此 token 向 API 服务发出 HTTP 请求
4. API 可以通过检查 Token 来验证用户身份并创建 ToDO。

通过这样做，我将能够让用户保持登录状态 1 年，并且用户可以请求机器人代表他们创建待办事项，而无需在此期间再次进行身份验证。

但是，我不知道在此过程中是否遗漏了一些安全问题。

有更好的方法吗？

谢谢!

Answer 1

这里是Bot-authentication的链接演示了如何集成 OAuth 提供程序以进行用户身份验证的流程。机器人服务不会收集客户数据来改进服务。