node.js - 如何实现刷新 token 轮换？

Question

如果我对refresh token rotation的理解是对的，那就意味着每次我们请求一个新的access token的时候，我们也会得到一个新的refresh token。如果多次使用刷新 token - 我们会使某个用户之前使用的所有刷新 token 无效，并且用户必须再次完成身份验证过程。

1. 这是否意味着我们需要将所有刷新 token (所有旧 token )存储在数据库中？

2. 我们不能简单地存储最后一个刷新 token ，只有一个(尚未使用)，并且对于每个获取新访问 token 的请求，我们将检查请求中发送的刷新 token 是否是在数据库中，如果是这样，我们将创建一个新的访问和刷新 token 并覆盖数据库中的旧刷新 token ，以便旧刷新 token 不能用于获取新 token ？

3. 此类刷新 token 应存在多长时间？

Answer 1

1. 是的，但 all 通常意味着“所有在给定的时间范围内”。时间范围将取决于您的需求 - 您希望能够识别任何潜在的刷新 token 泄漏多长时间。

2. 您可以，但是您无法获得比不使用 token 轮换更好的安全性。这是因为您永远不知道谁先使用了当前 token - 合法用户还是恶意用户，他们窃取了您的 token 。如果是后者，那么她现在可以访问工作访问/刷新 token 对。合法用户将获得无效 token 。

3. 这取决于您的要求、功能、安全性等。您通常会发现刷新 token 应该在几个小时内有效(通常最多 8 小时)的信息，但我已经设置了刷新 token 有效几天甚至几个月。