V2EX › chinvo 的所有回复 › 第 151 页 / 共 210 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 ... 147 148 149 150 151 152 153 154 155 156 ... 210

❮

❯

2018-06-12 21:58:57 +08:00

回复了 cc959798 创建的主题 › Java › 请问 OAuth 中的 access_token 为什么需要过期

@march1993 #20 抱歉认错了，误认为你是楼主……

access token 被泄漏的时候的安全性保障，来自于短期有效。

另外为了避免 public 的 client （单纯 agent 的 client，包括网页、手机 app ）所取得的 access token 泄漏造成麻烦，还引入了 PKCE

2018-06-12 21:54:15 +08:00

回复了 cc959798 创建的主题 › Java › 请问 OAuth 中的 access_token 为什么需要过期

@march1993 #20 所以 access token 有效期是短暂的，即使泄露不会造成太大危害，但是如果按你的思路设置为长期，就是很危险的了，尤其是有一些 authentication provider 不支持 revoke access token 的情况下

2018-06-12 21:52:41 +08:00

回复了 cc959798 创建的主题 › Java › 请问 OAuth 中的 access_token 为什么需要过期

feng huang 的 V2EX iOS app 里面误点感谢突然不能取消感谢好尴尬……

2018-06-12 21:51:29 +08:00

回复了 cc959798 创建的主题 › Java › 请问 OAuth 中的 access_token 为什么需要过期

@march1993 #16

另外 agent 不等同于 client，agent 是暴露给用户的部分，包括浏览器、app，而 client 是指包含 agent 和执行 code 换 token 或者 refresh token 换 token 的服务器端两部分，单纯的 agent 形式的 client 又叫 public client，是不能使用 client secret 和 refresh token 的

#17 但是非法的 agent 能偷到一次 access token 不代表可以偷到第二次，而如果能偷到 refresh token 并使 refresh token 有效，就是非常严重的安全事故了

2018-06-12 21:46:03 +08:00

回复了 cc959798 创建的主题 › Java › 请问 OAuth 中的 access_token 为什么需要过期

@march1993 #16 此言差矣

refresh token 必须和 client secret 一起用才有效

而且在权限限制严格的情况下，refresh token 必须在满足特定条件下才会被发放给 oauth client

而 access token 是经常暴露出来的，并且可以先送给第三方 resource provuder，但 refresh token 只能在 oauth client 和 authentication provider 之间传递并且必须被保密存放

2018-06-12 21:02:01 +08:00

回复了 masteryi 创建的主题 › 问与答 › 为什么数据库在操作系统底层？

是操作系统的数据库吧

比如微软的 SUSDB

2018-06-12 20:58:28 +08:00

回复了 Mush 创建的主题 › 宽带症候群 › 北京 GCP 日狗了

TPE 的 S1P1 shunt fault 通过调供电现在已经暂时恢复了所有业务

APG 从 2018-06-11 00:00 到 2018-06-21 00:00 中断割接，不过这个缆之前是断了刚修好

2018-06-12 20:46:00 +08:00

回复了 Kimipoker 创建的主题 › 问与答 › 怎么根据身份证号查电话号码?需要帮忙

交派出所

或者当地交通广播

2018-06-12 00:26:47 +08:00

回复了 maemolee 创建的主题 › 全球工单系统 › [欢乐书客] 的朋友请进来一下

以及翻页假死 bug