Oauth2 令牌 - 我可以将令牌存储在会话中吗

Question

我有一个短暂的（20 分钟）访问令牌和刷新令牌，我想将它存储在如下会话中，并在需要时在任何地方使用它。

session.setAttribute(ApplicationConstants.OKTA_RESPONSE,token);

请让我知道这是否是正确的方法。 如果没有，请建议我可以参考的链接或文档。

提前致谢。

Answer 1

这取决于您的整体应用架构。可能是您将客户端应用程序的令牌存储在服务器中以进行保护，也可能是您的服务器应用程序充当客户端。

安全存储令牌是规范的要求。因此，在您的情况下，如果您可以通过已建立的机制（例如：- SSL）与前端（例如：- JSP 页面）通信时保护会话值，我会说这没关系。