Início / coding / Perguntas / 79564732
Accepted
Lamens
Asked: 2025-04-09 23:28:10 +0800 CST

Como armazenar com segurança um refresh_token no frontend ao usar laravel/passport?

  • 772

Estou trabalhando em um fluxo OAuth 2.0 usando Authorization Code Grant com PKCE, envolvendo dois servidores locais:

O que implementei:

O frontend redireciona o usuário para autorização e depois retorna a chamada para /auth/callback.

No retorno de chamada, troco o código de autorização por tokens de acesso e atualização usando um /oauth/tokensendpoint dedicado em sso-identify.test.

Laravel responde com:

{
  "access_token": "...",
  "refresh_token": "...",
  "expires_in": "..."
}

Nesse caso, o JS terá acesso ao refresh_token.

Como armazeno o refresh_token?

1 respostas

  1. Best Answer

    Todos os tokens devem ser trocados entre os servidores e armazenados no servidor identificado pela sessão do usuário. Isso significa que o usuário deve ter apenas uma sessão no servidor do front-end . Obviamente, essa sessão se manifesta no cliente como um cookie que contém apenas o ID da sessão.

    O access_tokené usado para chamadas de API e é armazenado na memória do cliente, pois expira de expires_inqualquer forma. Quando chegar a hora de atualizar o access_token, faça uma chamada de API para o SEU servidor, que contém a sessão e, portanto, todos os tokens necessários para atualizar o access_token.

    O armazenamento acessível via JavaScript não é seguro.

    Resumindo, não armazene refresh_tokenno cliente.

    Atualização: Posso ter reduzido alguns detalhes sobre a sessão, mas a ideia é que ela refresh_tokennão seja acessível ao javascript do cliente.

    • 3

relate perguntas