iseki

iseki

V2EX 第 379936 号会员,加入于 2019-01-24 22:46:21 +08:00
今日活跃度排名 25867
根据 iseki 的设置,主题列表只有在你登录之后才可查看
二手交易 相关的信息,包括已关闭的交易,不会被隐藏
iseki 最近回复了
另外就是,实践上,Refresh Token 也必须接受更严格的安全审计,甚至可能需要使用单棘轮之类的技巧来提高安全性
举例这里粘贴一下《 OAuth 2.0 授权框架》中对角色的定义:

> resource owner
> An entity capable of granting access to a protected resource. When the resource owner is a person, it is referred to as an end-user.
> resource server
> The server hosting the protected resources, capable of accepting and responding to protected resource requests using access tokens.
> client
> An application making protected resource requests on behalf of the resource owner and with its authorization. The term "client" does not imply any particular implementation characteristics (e.g., whether the application executes on a server, a desktop, or other devices).
> authorization server
> The server issuing access tokens to the client after successfully authenticating the resource owner and obtaining authorization.

抛开 RO 不谈,RS Client(UA) AS 是三个不同的角色,refresh token 是不应该提供给 RS 的
还有一个原因,刷新 token 和认证 token 未必是供同一方读取的。在一个职责完全分离的体系里,AS(认证服务器)和 RS(资源服务器)未必具有同样的安全基线,甚至未必是由同一实体控制。很显然,无限期有效的令牌必须不能被 UA(用户代理——客户端)和 AS 以外的第三者读取,否则角色就要混同了。
9 天前
回复了 Moishine 创建的主题 git 我宣布,最好的 git 客户端是腾讯家的 ugit
tortoisegit 虽然丑了点,但这是少数把 git 功能做全做好了的。至于丑,它只是原生 UI 罢了,可访问性恐怕是这些里最好的。
降本增效和屎山堆积相辅相成,裁大动脉点个火,知道坑的人不在了,新来个人把系统弄炸了这是常态
20 天前
回复了 egoist523911 创建的主题 程序员 有人用过 JetBrains 家的 ai-assistant 吗?
按账户来的,不知道看不看账单地址。
用了下我觉得还行,至少在生成 git commit message 上还是可以的。缺点就是额度有点少,没法敞开了用。
21 天前
回复了 moudy 创建的主题 C++ 再一次感觉到 C++的恶心
这个和社会分配问题不同,
21 天前
回复了 moudy 创建的主题 C++ 再一次感觉到 C++的恶心
@moudy
> 每个符号都 tm 可能是别的意思

重载就是用来改变符号含义的,保证它不违反大多数人的直觉是编程者的责任。
关于   ·   帮助文档   ·   自助推广系统   ·   博客   ·   API   ·   FAQ   ·   Solana   ·   2327 人在线   最高记录 6679   ·     Select Language
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.5 · 21ms · UTC 15:38 · PVG 23:38 · LAX 07:38 · JFK 10:38
♥ Do have faith in what you're doing.