微软Oauth2访问令牌和刷新令牌的存储

Question

AppEngineDataStoreFactory.class

对于最佳实践或类似建议的任何解决方案，我都会避免将令牌存储在文件或内存中。

谢谢。

Answer 1

对于这种情况，我推荐MSAL，这是微软的身份验证库，它简化和管理了获取、管理、缓存和刷新令牌，并使用了弹性的最佳实践。使用MSAL时，自动支持token缓存、刷新、静默获取。

下面是Github上的MSAL for Java存储库的链接：https://github.com/AzureAD/microsoft-authentication-library-for-java

如果这有帮助，请告诉我。

Answer 2

1. 首先，设计你的应用程序，使你的MSAL令牌缓存的遵守安全和性能建议:在web应用程序中，为每个浏览器会话和帐户使用和存储单独的令牌缓存。即，当您序列化/反序列化令牌缓存时，它应该是一个仅绑定到该会话的令牌缓存，并进一步绑定到keyed to the account ID of the logged-in user.

1. 现在，您可以考虑将令牌缓存持久化到哪里。对于要使用的数据存储，没有任何硬性的规则，因此您可以选择适合您的需求。

1. 最后，，最重要的是，安全地存储令牌缓存。使用高度加密，只允许您的web应用程序访问存储的数据，并保护您的加密密钥。您可以使用Azure密钥库获取和存储加密/解密密钥。