Backend & auth0 - хранить токен доступа локально, в переменной или получить новый?

Question

Я вызываю API из бэкэнда, который использует auth0. Мне дали учетные данные для получения токена доступа, который после получения действителен в течение 24 часов. Я задаюсь вопросом, что было бы наилучшей практикой для обработки этих токенов. Если вы

a) сохраните его локально в базе данных вместе с датой истечения срока действия, а затем выполните с ним вызовы до истечения срока его действия

b) сохраните его в переменной (с тем же намерением) и получать новый токен при каждом запуске приложения

или c), просто получать новый токен доступа при каждом вызове API.

Answer 1

Я думаю, что лучший вариант - сохранить токен доступа в памяти - в переменной. Пока переменная находится в ОЗУ, это довольно безопасное место.

Если вы сохраняете ее в постоянное хранилище, такое как база данных, вы должны зашифровать его. Так же, как вы относитесь к паролю.

Получение нового токена доступа при каждом вызове API просто подчеркивает конечную точку токена и замедляет вызовы API. Получение нового токена облегчит обнаружение кражи токена, но также сделает параллельные вызовы API трудными для обработки или невозможными.