Служба REST с третьим лицом OAuth2

Question

Я строю сервер REST и клиент для этого. Теперь мне нужно внедрить стороннюю аутентификацию oauth2. Сейчас я направляю пользователя на сервер, позволяю ему проходить аутентификацию в службе, а затем перенаправляюсь к клиенту, примерно так:

Клиент: не аутентифицирован -> Сервер -> Перенаправление на стороннюю сторону -> Перенаправление на сервер -> Перенаправление в приложение.

Затем я храню файл cookie на клиенте для идентификации пользователя (cookie отправляется с использованием Credentials и CORS).

Моя проблема теперь в том, что я должен сделать с повторной аутентификацией, когда истекает срок действия токена? Поскольку клиент и сервер обмениваются данными только через json, мне придется снова инициировать полный процесс аутентификации, и поэтому пользователь потеряет все состояние в приложении. Есть ли у кого-нибудь предложение о том, как обойти эту проблему? Лучше ли выполнять аутентификацию на стороне клиента и хранить токен доступа на сервере или что-то еще?

Answer 1

Независимо от того, что вы сделали, это правильный способ получить OAuth access_token. А ваш access_token является временным, так что срок истечения.

Я думаю, что вы можете сделать что-либо из них:

1. Проверьте сервер авторизации (который используется для получения токена) предоставляет возможность получить более длинный маркер продолжительности использования вашего access_token. Это также предлагается в спецификации OAuth 2.

2. Попробуйте сохранить состояние пользователя без использования сеанса.