安全处理 OAuth 令牌和密钥，以实现电子学习平台与 Zoho CRM 的集成

Question

我正在开发一个电子学习平台，我需要将其与 Zoho CRM 集成以在付款流程后更新付款状态。为了实现这一目标，我使用 OAuth 2.0 通过 Zoho CRM 的 API 进行身份验证。

我的集成过程涉及几个步骤：

1. 获取初始访问令牌：无需用户交互，在用户授权我们的应用程序后，我想使用授权代码从 Zoho CRM 获取初始访问令牌。

2. 刷新令牌：为了确保访问令牌不会过期，我需要使用 Zoho CRM 提供的刷新令牌来实现令牌刷新。

3. 撤销令牌：在执行所需操作后，我想撤销访问和刷新令牌以增强安全性。

我有几个问题和疑虑：

1。不同用户的代币管理：

• 我应该如何安全地管理我的电子学习平台上不同用户的访问令牌？
• 在数据库或会话变量中存储访问和刷新令牌是否安全？

2。代币刷新：

• 如何使用刷新令牌实现令牌刷新，以保持集成处于活动状态而无需手动干预？

3.令牌撤销：

• 当客户完成交互时撤销访问和刷新令牌的最佳实践是什么？

4。保护身份验证密钥：

• 如何在代码中安全地存储和使用 client_id 和 client_secret 以防止泄露？

我将非常感谢任何见解、最佳实践和优化的代码示例，以帮助我为我的电子学习平台实现与 Zoho CRM 的安全高效的 OAuth 集成。谢谢您的协助！

这是我现有的令牌处理代码。

1$curl = curl_init();

curl_setopt_array($curl, array(
  CURLOPT_URL => 'https://accounts.zoho.com/oauth/v2/token',
  CURLOPT_RETURNTRANSFER => true,
  CURLOPT_ENCODING => '',
  CURLOPT_MAXREDIRS => 10,
  CURLOPT_TIMEOUT => 0,
  CURLOPT_FOLLOWLOCATION => true,
  CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
  CURLOPT_CUSTOMREQUEST => 'POST',
  CURLOPT_POSTFIELDS => array('client_id' => '','client_secret' => '','redirect_uri' => '','code' => '','grant_type' => 'authorization_code'),
  CURLOPT_HTTPHEADER => array(
    'Cookie: '
  ),
));

$response = curl_exec($curl);

curl_close($curl);
echo $response;

$curl = curl_init();

curl_setopt_array($curl, array(
  CURLOPT_URL => 'https://accounts.zoho.com/oauth/v2/token',
  CURLOPT_RETURNTRANSFER => true,
  CURLOPT_ENCODING => '',
  CURLOPT_MAXREDIRS => 10,
  CURLOPT_TIMEOUT => 0,
  CURLOPT_FOLLOWLOCATION => true,
  CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
  CURLOPT_CUSTOMREQUEST => 'POST',
  CURLOPT_POSTFIELDS => array('client_id' => '','client_secret' => '','refresh_token' => '','grant_type' => 'refresh_token'),
  CURLOPT_HTTPHEADER => array(
    'Cookie: '
  ),
));

$response = curl_exec($curl);

curl_close($curl);
echo $response;


$curl = curl_init();

curl_setopt_array($curl, array(
  CURLOPT_URL => 'https://www.zohoapis.com/crm/v5/Leads/search?email=test%40gmail.com',
  CURLOPT_RETURNTRANSFER => true,
  CURLOPT_ENCODING => '',
  CURLOPT_MAXREDIRS => 10,
  CURLOPT_TIMEOUT => 0,
  CURLOPT_FOLLOWLOCATION => true,
  CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
  CURLOPT_CUSTOMREQUEST => 'GET',
  CURLOPT_HTTPHEADER => array(
    'Authorization: Bearer ',
    'Cookie: '
  ),
));

$response = curl_exec($curl);

curl_close($curl);

// Check if the response is not empty and is a valid JSON
if (!empty($response)) {
    $data = json_decode($response, true);

    // Check if the JSON was successfully decoded
    if ($data !== null && isset($data['data']) && is_array($data['data'])) {
        // Access and display the last recorded detail
        $recordedDetails = end($data['data']); // Get the last element in the 'data' array
        print_r($recordedDetails);
    } else {
        echo "Invalid or empty 'data' in JSON response.";
    }
} else {
    echo "Empty response received.";
}

Answer 1

在数据库或会话变量中存储访问和刷新令牌是否安全？

这个评估很难做，因为最终不同的人对这个东西的风险程度是不同的。很多人将其存储在数据库或 Redis 之类的东西中。但您也可以将其存储在一些专为存储机密而设计的保管库中，亚马逊等许多主机都拥有这些保管库。至少将其存储在单独的数据库中以降低暴露风险可能是可取的。安全性不是二元的，它很大程度上是一个滑动尺度。

如何使用刷新令牌实现令牌刷新，以保持集成处于活动状态而无需手动干预？

您可以跟踪令牌何时过期，并安排后台任务来更新令牌。

当客户完成交互时撤销访问和刷新令牌的最佳实践是什么？

OAuth2 有令牌撤销操作。不是每个人都支持它，但他们可能会支持。如果您的代币最终出现在其他系统上，这会很有帮助。理想情况下，您的代币永远不会离开您的系统，在这种情况下，只需删除代币就可以了。

如何在代码中安全地存储和使用 client_id 和 client_secret 以防止泄露？

一切如常，只需确保令牌永远不会离开您的服务器即可。小心不要在出错时发出堆栈跟踪，阅读 OWASP top 10 等。