Spring Boot OAuth 2-密码更改时刷新令牌过期
Spring Boot OAuth 2是一个基于Spring Boot框架的身份验证和授权解决方案。它提供了一种安全的方式来保护和管理应用程序的资源，并支持各种身份验证和授权机制。
密码更改时刷新令牌过期是指在用户更改密码后，强制使其之前颁发的访问令牌失效，以增加系统的安全性。这样做可以防止未经授权的访问，因为令牌是基于用户凭据生成的，一旦凭据发生变化，令牌也应该失效。
在Spring Boot OAuth 2中，可以通过以下步骤来实现密码更改时刷新令牌过期：
- 用户更改密码后，将新密码保存到数据库或其他持久化存储中。
- 在用户更改密码的同时，将其关联的令牌标记为无效。可以通过在数据库中添加一个标志字段或者更新令牌的过期时间来实现。
- 当用户尝试使用旧令牌访问受保护的资源时，系统应该拒绝访问，并要求用户重新进行身份验证。
- 用户重新进行身份验证后，系统将颁发一个新的访问令牌，以供用户继续访问受保护的资源。
Spring Boot OAuth 2提供了一些相关的类和配置选项来实现令牌的管理和刷新。具体实现方式取决于所使用的OAuth 2提供程序（如Auth0、Okta等）以及与之集成的方式（如使用JWT令牌、使用数据库存储令牌等）。
推荐的腾讯云相关产品和产品介绍链接地址：
- 腾讯云身份认证服务（CAM）：提供了一套完整的身份认证和访问管理解决方案，可用于管理用户、角色和权限等。详情请参考：https://cloud.tencent.com/product/cam
- 腾讯云API网关：提供了一种简单而高效的方式来管理和发布API，并提供了身份验证和授权功能。详情请参考：https://cloud.tencent.com/product/apigateway
- 腾讯云密钥管理系统（KMS）：用于管理和保护密钥，可用于加密和解密数据、生成和验证数字签名等。详情请参考：https://cloud.tencent.com/product/kms
请注意，以上推荐的腾讯云产品仅供参考，具体选择应根据实际需求和情况进行评估。
相关·内容
我需要调用由OAuth2资源所有者密码凭据保护的服务。我在oauth.net/code上尝试了所有的库，但都没有成功。它们似乎都没有提供这种身份验证，但似乎都非常适合3条腿的身份验证。
我的用户应该使用用户名和密码登录，但是我不想存储用户名和密码。我希望得到一个访问令牌，并不时刷新此令牌。
我的网络通讯目前是基于Spring4Android和there模板的。
有什么建议吗，我可以用哪个图书馆？我认为这是一个常见的问题。
浏览 0提问于2014-03-31得票数 7
回答已采纳
我正在使用spring实现oauth服务器。我注意到，spring的实现re在令牌端点未过期的情况下发出相同的访问令牌。但是，在刷新访问令牌时，行为是不同的。每次重新发出一个新令牌时，如果在收到有效的刷新请求时重新发出相同的未过期访问令牌，是否需要记住任何问题。
浏览 2提问于2017-01-13得票数 0
1回答
这做了一个Spring应用程序(Rest，JPA等)使用(通过Rest)从一个网站(角)和一个移动应用程序(Android)。
使用移动应用程序的用户(在未来)将能够通过Facebook、Google等进行身份验证，并将从应用程序所需的社交网络获得的一些信息存储在数据库中。
我通过提供用户名和密码(保存在数据库中)和从后端释放访问令牌(JWT)来实现身份验证，这两个前端在每个REST请求时都会使用访问令牌(JWT)到Spring。
现在，我希望用户的移动应用程序不要每次输入用户名和密码，而是为了“永远”而保持登录。
我在互联网上看到，当后端(Spring )返回HTTP错误401时，应用程序可
浏览 0提问于2021-02-24得票数 2
2回答
我正在做一个弹簧启动，Auth Microservice。它使用Oauth2 spring依赖项，即。
buildscript {
dependencies {
classpath "org.springframework.boot:spring-boot-gradle-plugin:2.1.9.RELEASE"
}
}
dependencies {
implementation "org.springframework.boot:spring-boot-starter-actuator"
implementation "org
浏览 6提问于2021-03-28得票数 1
回答已采纳
2回答
我有多个移动客户端，它们都使用密码授予流进行身份验证。为此，我只想使用一个非常持久的刷新令牌与多个较短寿命的访问令牌。我一直在尝试使用密码授权在春季生成多个访问令牌，但是，每当我刷新访问令牌时，旧的访问令牌就会停止工作。我检查了数据库，为了进行特定的身份验证，oauth_access_token表中始终只有一条记录。Spring Oauth2不是应该为一个刷新令牌生成多个访问令牌吗？谢谢你的帮助。
浏览 0提问于2019-05-12得票数 5
2回答
我有一个授权服务器和多个使用OAuth2的资源服务器。所有这些都是使用Spring Security OAuth2实现的。我也有前端客户端，它使用授权代码流生成令牌。
我的情况是，如果刷新令牌的有效性是2小时，而访问令牌的有效性是1小时。首先，获取令牌没有问题(这两个令牌都是新的。1小时后，访问令牌过期。现在假设应用仅在另一个30分钟(经过1.5小时)之后使用现有的刷新令牌来重试新的访问令牌，并且生成新的访问令牌，其有效期为1小时，其比刷新令牌多出30分钟。在前端，我已经在cookie中存储了令牌，刷新令牌在30分钟后被删除。当我再次尝试使用身份验证码流获取令牌时，spring oauth2服
浏览 44提问于2021-03-07得票数 1
1回答
我们有一个使用案例，我们希望在企业级应用程序中使用我们的Google身份验证。
我们的应用程序是支持spring boot的Java应用程序。我读了很多文章，其中说oauth可以很容易地与spring boot web应用程序集成，在前面有一些同意屏幕，用户可以在那里输入他们的Google用户名和密码。
但我的应用程序没有任何用户界面。目前，我正在使用基本身份验证为所有不同的端点执行少量的基于角色的身份验证。
目前，我正在使用curl和postman使用基本身份验证来访问这些api端点。如何集成Google oauth，以便用户可以在命中任何端点之前使用自己的用户密码。
我的唯一目的是识别与任
浏览 0提问于2019-11-28得票数 0
我们正在使用security和OAuth2在java中构建一个OAuth2 web应用程序。
一切都如期而至，我开始了解访问和刷新令牌的基本知识，但是仍然有一些不清楚的地方，通过浏览互联网，我更加被不同的观点弄糊涂了。
我们现在的实现方式是：
在spring安全性中，一次只能为给定用户提供一个有效的刷新令牌。刷新令牌的有效期为300秒(5分钟)。每次我们为用户请求新的刷新令牌时，都会返回相同的刷新令牌，但不重置有效时间。
这样，每302秒就会在后台询问一个新的刷新令牌，并且这个刷新令牌用于请求放置在其余调用的授权头中的访问令牌。
这在大多数情况下都是正常的，但是如果请求在300到302秒内执行
浏览 1提问于2014-12-22得票数 0
1回答
我目前正在遵循这个指南，在Spring boot https://www.callicoder.com/spring-boot-security-oauth2-social-login-part-1/中构建身份验证服务 我对它进行了修改，当用户使用用户名和密码创建和帐户时，它也会返回一个refresh_token。 但是，当我使用facebook或google进行身份验证时，我看到访问令牌被附加在重定向URL (see here github link)中。 现在阅读OAuth doc，这似乎是有意义的。但是，我如何也将刷新令牌返回给用户。在URL中同时传递访问令牌和刷新令牌是否安全？ 这是
浏览 10提问于2021-01-14得票数 0
回答已采纳
1回答
弹簧OAuth2刷新令牌到期
、、、、
我想知道我的刷新令牌有效性<property name="refreshTokenValiditySeconds" value="6000" />是否过期了，是spring会自动从DB调用TokenStore method void removeRefreshToken(OAuth2RefreshToken var1);中删除它，还是在过期后以不同的方式处理它？
浏览 2提问于2017-06-29得票数 1
我们在spring V1.5.7上开发了一个restful，它由OAuth使用“密码”授予类型进行保护。我们只使用访问令牌，而不使用刷新令牌。访问令牌的有效性设置为15分钟。最初，我们到达令牌端点并获取令牌并使用服务。虽然服务被消耗得非常频繁，但是访问令牌在15分钟后就过期了。我们要做的是，当服务仅在15分钟内被调用时，令牌就应该过期。
有人能帮我吗？
浏览 0提问于2018-04-18得票数 1
回答已采纳
2回答
我是Spring Boot的初学者，我设置了OAuth2，并且都能很好地使用inMemory ()数据。我正在尝试将令牌存储在数据库中，但我希望客户端留在内存中，因为我将始终使用单个客户端用于此应用程序，所以我使用创建了必要的表。我看到将只使用oauth_access_token和oauth_refresh_token表，当我请求令牌时，系统将返回旧的(如果它仍然有效)，如果旧的仍然有效，则返回一个新的(这很好，但..)。由于这个原因，我很难理解系统如何知道令牌是否过期？(知道我没有显式定义JWT令牌或任何其他特定类型的令牌)
浏览 0提问于2018-11-05得票数 0
我正在使用spring安全oauth2为我的安卓应用程序进行身份验证，客户端请求使用grant_type作为密码服务器发出访问令牌并刷新token.If访问令牌过期我可以通过以grant_type作为refresh_token.Now发送请求来发布新的访问令牌如果我的刷新令牌过期了我该怎么办?我不想提示用户使用他的credentials.So再次进行身份验证有没有方法来发布新的刷新令牌和新的访问令牌？或者是否有任何规定来发出具有无限有效性的刷新令牌，或者通过仅发送单次使用的刷新令牌并在每个refresh_token grant_type request.Below中刷新刷新令牌，这是我的spr
浏览 14提问于2016-07-27得票数 4
2回答
我有一个应用程序(不是反应性的)，它包含有角度UI、Zuul和一些与Okta登录(OAuth)集成的服务。这很好，但是在jwt令牌过期后就被卡住了。有关工作流的一些详细信息
应用程序URL指向Zuul。
Zuul将请求重定向到Okta。用户登录。
Okta将一个Bearer令牌(也是一个刷新令牌)发回。
此Bearer令牌被传递给UI，并作为cookie存储。对于每个请求，UI都会发送授权头和承载令牌。
这个过程可以正常工作，直到jwt令牌在一小时内过期，然后Zuul尝试将其重定向到默认的登录页面，在我们使用okta登录时，该页面没有任何内容。
我的问题
如果需
浏览 6提问于2021-01-19得票数 2
嗨，我对Spring boot和Oauth2真的很陌生。我需要了解如何使用Oauth2身份验证、刷新令牌和访问令牌对Spring boot web服务进行身份验证。同样，我还需要知道如何动态限制不同用户的访问(访问资源)。我在网上搜索了许多文章，结果没有什么我真正需要学习的东西。我不需要与facebook或谷歌SSO配置。我想知道如何制作我们自己的授权服务器。
任何人可以帮助我指导或发送一个有用的教程，帮助我学习的链接。
谢谢。
浏览 2提问于2017-11-05得票数 3
我有一个移动应用程序，它使用我的Spring后端来进行身份验证和访问数据。Spring应用程序的一部分使用OAuth2从资源服务器访问数据。我偶然发现了一个 for Spring，它发挥了它的魔力，而且一切都是凭空捏造的。
当我试图弄清楚这个库是如何工作的时，我似乎找不到它处理刷新令牌的方法的答案。我知道oauth2client绑定到每个用户的会话，但是当会话结束时会发生什么呢？访问和刷新令牌不会丢失吗？
我在为数据库中的每个用户寻找持久刷新令牌的方法，但在库中没有找到对此的任何支持。这让我想知道我是否必须自己实现它，或者是否有必要这样做。
如有任何建议，敬请谅解！
浏览 2提问于2019-10-14得票数 0
我有一个使用Microsoft Azure active directory来允许身份验证(oauth2)的springboot应用程序。
我遵循了微软()提供的"how to“。
一切都很好，除了我不知道如何处理过期令牌(1小时后)，它不会影响用户的方式。
我知道可以使用刷新令牌获得新的令牌，但是如果我查看一下NimbusAuthorizationCodeTokenResponseClient.java，刷新令牌不会保存在任何地方，即使它是可用的。
我找不到任何关于如何保留这个刷新令牌以及如何使用它的示例，比如它应该像整个过程一样自动工作。
有没有人对这个Azure活动目录sprin
浏览 2提问于2018-09-05得票数 2
我正在使用mule连接/使用一些服务。身份验证是OAuth2客户端凭据。刷新令牌的最佳方式是什么？一种方法是像这样检查http.status
refreshTokenWhen="#[message.inboundProperties['http.status'] == 401]"
但我对此并不是很满意，因为刷新令牌应该失败一次。有没有办法根据过期时间刷新令牌？我的示例代码：
<mule xmlns:tracking="http://www.mulesoft.org/schema/mule/ee/tracking" xmlns:scripti
浏览 1提问于2017-05-03得票数 0
我在我的项目中设置了spring，并且身份验证似乎有效。在使用PostMan进行测试之后，我发现即使在过期的...it没有失效之后，也可以使用AccessToken ，并且用户仍然可以使用它来获取资源。
我通过将AccessToken的过期时间设置为2秒对此进行了测试。
下面是我的一些配置代码：
POM.xml
<!-- Security -->
<dependency>
<groupId>org.springframework.boot</groupId>
<
浏览 4提问于2022-06-05得票数 0
回答已采纳
我知道，当用户更改密码时，Office 365刷新令牌将过期，但我看到它们几乎每周对我的客户过期。
在Azure中设置我的OAuth2应用程序时，有什么东西我配置错了吗？
浏览 8提问于2016-04-06得票数 3
回答已采纳
我在我的应用程序中使用Google，oauth2刷新令牌在1小时后到期。我正在使用这个刷新令牌来执行一个每天运行的任务。我使用OAuth2操场创建刷新令牌。是否有办法延长刷新令牌的过期时间？(1个月)
浏览 0提问于2018-10-01得票数 6
回答已采纳
我使用谷歌日历nodejs为一个连接医生和病人的应用程序创建一个日历邀请程序。这是我的密码：
const defer = Q.defer();
oauth2Client.setCredentials({
refresh_token: options.refreshToken,
});
let calendar = google.calendar({
version: "v3",
auth: oauth2Client,
});
浏览 6提问于2022-02-18得票数 0
1回答
我使用spring boot安全性来授权用户使用oAuth2，客户端向/oauth/token发送一个带有用户名和密码的请求，spring security处理身份验证，并返回访问令牌和刷新令牌。
我知道这个场景，但我不知道如何用spring boot实现这个功能，所有的示例都是2FA登录的，我不想2FA，我需要一个没有密码的OTP。
浏览 2提问于2019-09-19得票数 3
1回答
我有一个spring引导控制器，它调用wso2上的一个服务。(发送标识并接收令牌以进行进一步通信)。我正在寻找一种在spring boot端自动刷新令牌的方法(因为wso2上的服务调用不是由浏览器完成的，而是由另一个服务完成的)。那么，在spring boot方面，我如何才能做到这一点？我知道我应该检查access_token的到期日期并使用refresh_token接收新的access_token，但是有没有什么库可以做到这一点，或者我必须自己编写这个逻辑？此外，当在spring boot的多个实例上运行我的应用程序时，我如何防止从一个实例刷新令牌，并使用相同的令牌在另一个实例上使令牌无效？
浏览 15提问于2018-02-16得票数 1
2回答
让我解释一下标题：
我有一个PHP ，它使用OAuth2身份验证。
我有一个NodeJS应用程序，通过密码授予使用这个API。在会话中，节点存储每个用户的访问令牌和刷新令牌。
当用户请求节点或通过前端恶魔要求节点定期刷新时，我可以使用access_token更新refresh_token。
我的问题是:我想让我的access_token保持短暂的生命，因为我听说它是进一步的安全性(3600秒左右)，但是我希望允许用户在几天后回来，并且仍然通过身份验证，或者至少避免再次询问他密码登录。是否被迫延长访问令牌的生存期？节点服务器是否需要刷新用户的令牌，即使他没有请求任何东西？
提前谢谢你
浏览 6提问于2015-09-01得票数 0
回答已采纳
2回答
我正在开发一个带有Spring后端的移动应用程序。我希望有三种类型的登录方法(1)。用户名和密码(2)。Facebook (3)。谷歌。
，我有以下问题，。
1)如果我通过Firebase身份验证处理移动应用程序中的身份验证部分(并将所有用户存储在Firebase上)，是否需要在我的Spring Boot侧编写身份验证代码？还是我只需要在Sprin Bboot端进行身份验证？
2)我想要用于所有身份验证系统(Facebook、Google和用户名和密码)的令牌。移动应用程序将为它向Springboot应用程序发出的每一个请求发送JWT令牌。
3)我正在寻找一个循序渐进的教程，展示如何在Spri
浏览 3提问于2019-10-17得票数 12
我遵循Oauth 2.0身份验证协议。
在这里，在授权代码流中提到，在获得Oauth访问令牌后，如果Access_toke过期，我们需要使用刷新令牌来刷新它。
我的问题是，我们如何知道access_token是否过期？这样我们就可以在refresh_token的帮助下声明一个新的访问令牌。
浏览 2提问于2015-04-13得票数 1
我正在使用spring-boot-starter-oauth2-client对我的用户进行谷歌认证。这样做很好，我可以按预期的方式登录并获得有效的访问和刷新令牌。
我正在创建访问令牌，如下所示：
public class TokenServiceImpl implements TokenService {
private final OAuth2AuthorizedClientService clientService;
@Override
public GoogleCredentials credentials() {
final var acce
浏览 3提问于2021-08-23得票数 2
回答已采纳
1回答
我使用REST创建了一个订阅(定期支付)。
最后，我得到了两个令牌：
卖方oAuth令牌(通过用户身份和秘密获取)
成员oAuth令牌(刷新和oAuth)
当我使用卖方令牌时，我可以毫无问题地触发REST。
如果我的理解是正确的，该协议是成员和卖方之间的，因此双方都应该能够阅读，暂停，重新启动和取消协议。
问题：
成员的刷新/ OAuth的用途是什么？
浏览 1提问于2016-05-10得票数 0
1回答
oAuth2安卓方法
、、、
我的Spring Boot服务器上有一个令牌提供者，我想知道在我的Android应用程序中使用它的最佳方法是什么？目前我可以从Android上获取accessToken和refreshToken，但是我应该如何使用它呢？
我是否应该使用SharedPrefs保存两个令牌，当accessToken不再有效时，使用刷新令牌来获得另一个令牌？这两个令牌的过期时间是多少？
如果响应是未经授权的，我是否应该检查从安卓到外部服务器的每个请求，然后执行此过程以获得新的accessToken？
浏览 2提问于2018-07-03得票数 0
2回答
我还没有找到适当的办法解决我的问题。我正在使用Security Oauth2资源服务器来验证我的请求。效果很好。但是，在不同的情况下测试时，如果不存在授权头，或者如果存在授权头，则spring安全性返回为403，而不是401。如果存在授权头，则该值不会以Bearer开头。
Spring Boot Starter - 2.6.7
Spring Boot Starter Security - 2.6.7
Spring Security Config & Web - 5.6.3
Spring Security Core - 5.3.19
Spring Boot Starter OAuth2
浏览 20提问于2022-11-08得票数 1
回答已采纳
我正在使用Spring Boot编写一个webapp应用程序。对于我的项目，我需要连接到Google来检索用户的日历信息。因此，我集成了Spring安全Oauth2来进行用户连接，并且在我想要使用Google日历API之后。
连接正常后，Google会重定向到我的webapp的一个页面，该页面由以下控制器定义：
@Controller
class ConnectedController {
private String token
@RequestMapping("/welcome")
String welcome(Principal principa
浏览 5提问于2017-04-29得票数 1
Spring Security OAuth 2隐式授权不支持刷新令牌。如何处理客户端访问令牌过期的场景？
浏览 4提问于2013-11-18得票数 4
1回答
阅读一些关于Oauth 2流中刷新令牌的目的的类似文章，它们对于用户参与的身份验证(如用户名和密码)是有意义的，但是对于Oauth2客户端凭据流来说，为什么要冒使用刷新令牌的风险呢？
是否系统压力较小，或者在新的访问令牌过期后使用刷新令牌获得新的访问令牌比通过客户端id和客户端秘密身份验证获得访问令牌更快？
引用的帖子：
浏览 0提问于2018-12-26得票数 1
回答已采纳
我正在深入研究Spring OAuth，我发现了一些相互矛盾的信息。
具体地说，声明/oauth/token端点在向客户端应用程序授予刷新令牌之前处理用户名和密码。相比之下，提到了/oauth/authorize和/oauth/token端点，但没有具体说明它们是如何工作的。
/oauth/authorize是否执行100%的username/password/nOtherFactors检查，然后通知/oauth/token端点向客户端发送刷新令牌，以便客户端随后向/oauth/token端点发送刷新令牌？
或者全部由/oauth/token端点处理？
对于不同的授权类型，/oauth/aut
浏览 0提问于2016-04-30得票数 15
1回答
我已经读了好几个月了，看起来整件事都可以集中在我下面总结的内容上。我正试图达到最理想的境界：
OAuth2
OpenID连接
水疗中心/移动客户
JWT
以上部分涉及到具有银行级安全质量的解决方案。所以这似乎是有意义的。
在不使用服务器端会话和cookie的情况下使用，因为这个OAuth流比隐式流更安全。
不要创建服务器端会话或cookie(此外，请记住我的cookie，以确定客户端以前是否已经过身份验证)。这是更好的缩放和整体简单性。
将JWT / OpenID连接令牌返回到客户端，以便客户端可以使用它来发出API请求并在客户端内作出授权决策。(我认为这就
浏览 1提问于2017-10-06得票数 5
回答已采纳
1回答
我正在使用cygnus从源代码构建(最新版本0.8.2)。我已经将其配置为将orion订阅发送到cosmos.lab.fi-ware.org。如果我只使用cosmos-user和cosmos-密码，它就失败了：
2015-09-06 12:21:27,063 (SinkRunner-PollingRunner-DefaultSinkProcessor) [ERROR - com.telefonica.iot.cygnus.sinks.OrionSink.process(OrionSink.java:143)] Persistence error (The /user/victor/querie
浏览 6提问于2015-09-06得票数 2
我在spring security和oauth2中遇到了注销问题
我们正在使用spring安全OAuth2保护REST服务。令牌和rest-api端点是无状态的，不需要会话。我只需要我的authserver进行一次登录验证，当我在rest客户端调用注销服务时，它显示200响应，但没有删除authorization.when。我输入用户名和密码，相同的用户应该是logging.but，而不是注销。我也清除了上下文。
这是我的控制器
`@Path("oauth2/logout")
public class LogoutImpl implements LogoutSuccessHa
浏览 0提问于2016-10-06得票数 0
2回答
目前，我正在对django REST API使用JWT身份验证。
但是从JWT库中，我不能在过期后刷新令牌。(5分钟)
因此，我需要为刷新令牌集成JWT2.0，为访问令牌集成OAuth令牌。
如何将JWT + OAuth 2.0集成到我的REST框架。或者任何样本？
例如：和
浏览 3提问于2017-03-02得票数 9
1回答
我正在尝试使用下面的代码在spring boot中创建一个oAuth客户端。我尝试记录getoken方法。根据文档和代码，它还必须缓存令牌，我检查了其中的源代码，它正在检查令牌是否为空，或者它正在尝试调用的令牌是否过期。但对我来说，每个调用都会使用一个新的令牌进行响应。你能让我知道为什么它不被缓存吗?它和上下文有关系吗？
@Bean
@ConfigurationProperties("app.oauth2.client")
protected ClientCredentialsResourceDetails oAuthDetails() {
return new Cli
浏览 2提问于2020-02-24得票数 0
我很难为我的SPA应用程序找到合适的身份验证架构。
我们有
SPA ------OAuth Access Token---> Spring Boot Server
|
|
OAuth Authorization Code Flow
|
\|/
OAuth Provider
SPA能够从这个特定的oauth提供者检索OAuth访问令牌(只持续24小时)。让用户每24小时重新登录并不好，因此我们希望让spring服务器与用户保持更长时间的会话。当会话到期时，我们可以再次要求用户对OAuth提供程序进行身份验证。
此OAuth提供程序不提供刷新令牌.
SPA一旦通过身份验证，就应该与我的
浏览 3提问于2021-02-06得票数 0
1回答
我正在使用雪花ODBC连接进行连续的API调用。我的访问令牌在10分钟内到期，可以使用以下调用使用刷新令牌进行刷新。但是90天后，我的刷新令牌就过期了。但是这个API端点
curl -X POST -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8" \
--user "<OAUTH_CLIENT_ID not encoded>:<OAUTH_CLIENT_SECRET>" \
--data-urlencode "grant_type=
浏览 10提问于2022-07-18得票数 0
回答已采纳
如果我有一个带有Laravel后端的单一页面web应用程序，我最好的身份验证选项似乎是带密码授予身份验证流的Passport。在Passport中，这将返回访问令牌和刷新令牌。
为了安全起见，我想发出一个短暂的访问令牌，并在它过期时刷新它。但是，关于在Javascript应用程序中使用OAuth的所有可用信息都说，“不要让前端访问刷新令牌”，因为它的寿命很长，其他人可以使用它来生成新的访问令牌。
单页应用程序(通常实现隐式流)不应接收刷新令牌。刷新令牌本质上是允许用户无限期地进行身份验证的用户凭据。此敏感信息应安全存储，不应在浏览器中公开客户端。
这是否意味着基于浏览器的SPA不能使
浏览 0提问于2019-08-15得票数 0
我是spring boot api的初学者。目前我正在通过视频和练习编程。我正在使用intellij在本地开发应用程序，最终目标是部署到Google云或AWS。
如果我想使用oauth2保护应用程序接口，那么是否有任何额外的成本需要考虑，例如，授权服务器。在开始实现REST api之前，我需要考虑哪些因素，比如成本、服务器、部署平台等?有没有对初学者有指导意义的例子？
浏览 0提问于2020-08-09得票数 0
1回答
在永久存储中跟踪JWT
、、、
我在Spring中有一个身份验证服务，它发布/验证JWT。用户传入用户名/密码，服务对其进行验证，并返回访问令牌和刷新令牌作为响应。以下是我在这项服务中想要的一些东西：
我希望确保用户只能使用同一刷新令牌一次才能获得新的访问令牌，并确保刷新令牌在被使用后过期。
，我想在过期后清理过期的访问和刷新令牌。为此，我需要一个存储库来跟踪我发出的所有JWT令牌和过期日期。
这会被推荐吗？如果是这样的话，在这种情况下最适合的存储是什么？我正在寻找AWS密钥管理服务，但不确定是否有更好的选择。
任何帮助都将不胜感激！谢谢。
浏览 3提问于2020-12-03得票数 0
回答已采纳
3回答
有一个过程通过Google的OAuth身份验证获得刷新令牌，然后从刷新令牌获取访问令牌以验证接收。
前几天，刷新令牌突然过期，收据验证失败。我们的服务停止了帐单的处理。下面是失败时的错误。
{
"error": "invalid_grant",
"error_description": "Token has been expired or revoked."
}
我以为每次使用刷新令牌都会重置它们的过期日期，那么它们为什么会过期呢？我认为以下规则不适用。
您必须编写代码，以预测授予的刷新令牌可能不再工作。这些原因如下：
浏览 15提问于2022-04-07得票数 3
回答已采纳
我使用的是spring-security-oauth2-provider:3.0.0-RC2和Grails 3.2.1。所有资源终结点都以/api开头，使用
"/api/$controller/$action?/$id?(.$format)?" {
constraints {
}
}
下面是过滤器链映射(与docs中给出的相同)：
String tokenFilters = "JOINED_FILTERS,-oauth2ProviderFilter,-securityContextPersistenceFilter,-logoutFilter,-auth
浏览 2提问于2016-11-02得票数 3
回答已采纳
我们在客户端应用程序中使用spring boot oauth2配置来验证用户以及以下yaml配置提供的访问令牌：
security:
oauth2:
resource:
userInfoUri: http://IP:PORT/auth/user
我正在尝试建立一个基于servlet的web应用程序。如何通过调用上述spring oauth2 uri来使用servlet实现相同的用户验证？
浏览 1提问于2019-01-15得票数 0
2回答
我们有一个独立的Java应用程序(参见)，它定期运行并使用Google (从客户数据库/ldap/.更新一些信息)。
为了访问Google，我们将用户名和密码存储在配置文件中，这是一个安全风险，客户不喜欢这样做。因此，我们希望使用OAuth2长寿访问令牌代替。
谷歌OAuth2访问令牌的默认过期时间是多少?
由于应用程序中只有访问令牌，所以当访问令牌过期时，app本身不能刷新它。
就我个人而言，我认为在这种情况下，OAuth2实现不会带来任何重大好处，但让我们关注主要问题--默认过期时间。
浏览 2提问于2012-12-13得票数 73
我有一个客户端应用程序，它使用带有授权授予类型的资源所有者密码凭据的oauth2。当用户提供凭证时，我编写curl http请求来获取访问令牌，但是当第一个访问令牌过期时如何请求另一个访问令牌。我读到估计访问令牌的有效性是很好的。，但我认为它不会解决我在新访问令牌到期后请求新访问令牌的问题，甚至在刷新令牌过期时也不会解决问题。
谁能给我指出正确的方向，如何实现这一点，或为此使用一个图书馆？
浏览 6提问于2016-06-08得票数 0
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM活动推荐
腾讯云开发者
