Android刷新令牌

Question

Android刷新令牌

9

我正在开发一个Android应用程序，关于token和refresh token我有些困惑。基本上现在，用户使用手机号码和通过短信发送的代码登录后，认证服务器将返回一个访问令牌，该访问令牌将用于访问所有api。对于认证服务器，我使用了带有jwt-auth库的Laravel。当访问令牌过期时，我将使用存储在AccountManager中的用户凭据来请求新的访问令牌。这是实现此身份验证的正确方法吗？

还是我缺少refresh token，在访问令牌过期时请求新的访问令牌？

谢谢您提前回答， Daniele

- Lic

1

永远不要将用户凭据存储在本地数据库中。您应该使用刷新令牌。 - Tomer Shemesh

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Frédéric · Accepted Answer

我认为最好同时使用token和refresh token，这样当你的access token过期时就不必每次都发送你的凭据。此外，在客户端设备上存储用户凭据是不安全的，你应该将这些信息存储在服务器上，并在需要时要求用户输入。

这里是我实现token/refresh token过程的方法：

1：你向身份验证服务器发送你的credentials（它将向你发送一个access token（我使用的是未存储在数据库中的JSON web token类型）和一个refresh token（存储在数据库中）。

2：当你向服务器发出请求时，检查access token是否过期，如果过期，则使用refresh token向身份验证服务器发出请求，以获得新的access token（根据你的服务器配置，它可以返回一个新的access token或我更喜欢的新的access token和refresh token配对）。

3：如果refresh token过期，则使用你的credentials向服务器发出请求，以获得新的令牌对。