对于 CLI，此 Auth0 身份验证方法是否安全

【问题标题】：Is this Auth0 authentication method secure for a CLI对于 CLI，此 Auth0 身份验证方法是否安全
【发布时间】：2020-05-27 17:49:48
【问题描述】：

我有一个受 Auth0 保护的 API。

我希望我的用户也可以通过 CLI 访问此 API。最初，当开发人员登录 CLI 以请求刷新令牌时，我正在考虑使用一次性密码流，然后将其保存在磁盘上以供将来使用。

但这感觉不对。还有其他更安全的方法吗？

CLI 可能用于构建服务器等，所以我想它必须是永久存在的永久令牌。

当我们这样做时，其他 API 会做什么，例如 GitHub，当我请求个人访问令牌时？是一样的吗？

【问题讨论】：

标签： oauth auth0

【解决方案1】：

通过在 CLI 上使用此流程，用户将通过浏览器以交互方式登录，然后在 CLI 中输入代码。这会给你一个访问令牌和一个刷新令牌。您可以在 CI 过程中使用刷新令牌在每次构建时（或每当 AT 过期时）获取新令牌。

【讨论】：

您能详细说明您对每个构建的含义吗？假设您正在使用我的 CLI，它以这种方式请求令牌。如果我们要确保令牌可以永远存在，我们坚持什么令牌？刷新令牌？如果是这样，这是个好主意吗？
是的，刷新令牌。
不刷新令牌 - 如果您希望 CLI 成为 CI 的一部分，只需升级 M2M