ブラウザに oauth リフレッシュ トークンを保存したい。そこに保存したい理由は、アプリがアクセストークンを更新して、ユーザーがセッションを中断せずに続行できるようにするためです。また、トークンを格納するためにサーバー上のあらゆる種類のキャッシュの必要性を排除し、ステートフルにしたいと考えています。
更新トークンをブラウザーに保存するのは安全ではないため、間違っていると言われました。
次の理由で問題ないと思います。
- トークンは httpOnly の安全なセッション Cookie に保存されるため、XSS や中間者攻撃に対して脆弱ではなく、ユーザーがセッションを閉じると破棄されます。
- サーバーへのすべての通信は HTTPS 経由で行われます
- 不審なアクティビティが検出された場合、更新トークンを無効にすることができます
- 最も重要なことは、サーバーだけが知っているクライアント シークレットを知らない限り、更新トークンを使用できないことです。
大丈夫だと思うのは間違っていますか？理由を説明してください！