OAuth 2供应商：存储客户凭证

Question

实施OAuth2供应商时存储客户凭证的最佳做法是什么？

我可以将access_token/refresh_token/auth_code作为salted hash存储（就像密码一样），如果我决定每次客户端请求一个新的时，我都会发出一个新的。但在client_secret的情况下，我需要能够沿着应用程序注册页面上的client_id显示它，所以我不能只保留散列。

谢谢！ Lev

Answer 1

使用机器生成的客户机密钥只有one of many means才能对客户机应用程序进行身份验证。我认为这是你想在你的服务中使用的。在这种情况下，您已经回答了您的问题，只要您希望能够随时向应用程序开发人员传达密码，就必须以纯文本形式存储密码。

如果这不适合你，可以考虑选择一种不同的解决方案，比如让开发者像使用密码一样设置秘密，并且永远不要存储明文;或者使用私人/公钥对认证方案，如MAC。