OAuth：我应该在令牌中存储哪些信息

Question

我正在创建一个向用户颁发令牌的 OAuth 服务器。但是，我不想将令牌存储在数据库中，我希望处理速度更快。

我的想法是在令牌中包含各种信息，这样当我解密它时，这些信息已经足够检查权限和范围了。

我有点担心令牌的长度会随着我添加更多范围而增加。

这是个好主意吗？如果没有，你有什么推荐的？

Answer 1

您在这里谈论的是默认实现的 InMemoryTokenStore。此外，Oauth2 已经以授权服务器向各种客户端提供的不同访问角色的形式维护了检查令牌中的权限和范围所需的信息。我认为您不需要在令牌中明确存储任何内容。