twitter - jwt の oauth_token と oauth_token_secret

Question

簡単な質問 - Twitter の oauth を使用すると、ユーザーを検証するために oauth_token と oauth_token_secret が与えられます。

これを暗号化してデータベースに保存して保管できることはわかっていますが、暗号化された jwt (jwe) で単純に病気にするのは悪い考えですか?

ありがとう

Answer 1

秘密は秘密にしておくべきです。

このトークンを使用して、ユーザーに代わって API 呼び出しを行います。これを念頭に置いて、トークンを jwt に保存することは問題ありませんが (ベスト プラクティスではない可能性があります)、シークレットを保存することは絶対に問題です。

おそらくより良いパターンは、トークンとシークレットをユーザーのモデルに保存し、ユーザーの ID を jwt に保存してそのユーザーを参照することです。すべてのリクエストで jwt を送信するため、jwt をデコードし、ユーザーの ID を取得してユーザーのモデルを検索し、そこから呼び出しを行うことができます。