如何安全地存储 Google OAuth 访问和刷新令牌

Question

背景

我正在构建一个应用程序来使用 React Native 和 Node Express 服务器管理 Google 日历。为了让用户登录 Google，我使用 react-native-google-signin 显示同意屏幕，它提供了

authorization code

我传递到服务器以获取用户的 Google

access token

和

refresh token

（通过

oAuth2Client.getToken(authorizationCode)

如文档中所述）。

问题

让用户登录谷歌后，我在服务器上获取身份验证令牌和刷新令牌。如何存储它们，以便我可以安全地检索它们以供以后的 api 调用。我假设我不能简单地将其存储在数据库表中，因为从技术上讲任何用户的数据都可以被任何其他用户访问。

对于如何安全地存储和检索这些数据，您有什么建议？如何确保用户只能从数据库中检索自己的信息？

Answer 1

将刷新令牌与其他内容一起放入数据库中，以帮助您指示用户是谁。

然后确保您的客户端 ID 和客户端密钥安全地存储在其他地方。没有它们，刷新令牌就没用了