Azure DocumentDb延续令牌

Question

我正在使用延续令牌遍历DocumentDb中的结果集，我的意图是通过HATEOAS链接公开延续令牌和最小/最大页面，以便用户可以通过HATEOAS链接贯穿其所有结果。通过返回持续令牌或页面ID是否存在潜在的安全风险？我应该混淆它们吗？我宁愿将所有会话状态保留在宇宙数据库中，也不要将结果存储在其他地方用于分页。

Answer 1

通过返回连续令牌或页面ID是否存在潜在的安全风险？

在我看来，公开令牌不会导致安全问题。 continuation token与authorization token不同，当除了响应中返回的结果之外还有其他结果时，将从查询返回连续令牌，通常，客户端使用来自先前查询的连续令牌恢复查询执行以获得额外结果，以及持续令牌从以前的查询返回的数据不能与其他查询一起使用。如果客户端只获得延续令牌，但没有有效的授权令牌并且不知道查询，则客户端无法通过该延续令牌获得结果。