Когда истекает срок действия кода авторизации OAuth? - PullRequest
Новая
       70

Когда истекает срок действия кода авторизации OAuth?

2 голосов
/ 13 марта 2019

Я знаю, что (при использовании кода авторизации "Код авторизации" в OAuth) время жизни токена доступа должно быть коротким, но время жизни токена обновления может быть большим. И я решил для своего проекта:

  • время жизни токена доступа: 1 день
  • Срок действия обновления токена: 30 дней

Но каково типичное время жизни кода авторизации? Я прав, что это должно быть очень, очень коротким? Может быть, как 1 час или даже несколько минут?

Я не смог найти никакой "лучшей практики" для этого ..

Ответы [ 2 ]

3 голосов
/ 13 марта 2019

Все это стандартно, но настраивается в большинстве серверов идентификации / авторизации.

Код авторизации

Когда пользователь дает согласие на доступ приложения к своим данным, ему возвращается код авторизации. Этот код используется только в течение пяти минут. что-либо ниже этого, вероятно, вызовет проблемы с перекосом часов, и на самом деле нет никаких оснований полагать, что оно будет длиннее.

токен доступа

Жетоны доступа возвращаются после обмена кодом авторизации. Токен доступа. Токены доступа чаще всего действуют только в течение 60 минут.

Обновить токены

токены обновления - это долгоживущие токены. Ниже приведены стандартные Google.

  • Жетоны обновления действительны в течение шести месяцев, но на этот раз они сокращаются.
  • Если токен обновления не использовался приложением в течение шести месяцев, доступ отменяется.
  • Пользователь также может отозвать доступ в любое время.
  • в зависимости от запрошенной области. Срок действия некоторых токенов обновления истекает после того, как пользователь изменил свой пароль

Опять же, это просто стандарты Google. На сервере идентификации я работаю на работе. Я думаю, что текущие настройки - один месяц бездействия, срок действия маркера обновления истекает.

0 голосов
/ 14 марта 2019

Только что нашел ответ на другом сайте:

Срок действия кода авторизации должен истечь вскоре после его выдачи.Спецификация OAuth 2.0 рекомендует максимальное время жизни 10 минут , но на практике большинство служб устанавливают срок действия намного короче, около 30-60 секунд .

Источник: https://www.oauth.com/oauth2-servers/authorization/the-authorization-response/

...