Внедрение OAuth в REST API

Question

Я в настоящее время разрабатываю RESTful API в PHP, и я хотел бы реализовать для него некоторую аутентификацию пользователя. Я прочитал несколько литератур, и самый эффективный/безопасный способ разрешить аутентификацию через rest api, по-видимому, является использованием токенов доступа через протокол oauth.

Я понял, как работает протокол, но я не понимаю, как его реализовать в нашей базе данных api &, когда пользователь получил свой токен доступа. Документация об этом очень неясна/почти не существует ...

Моя идея состояла в основном в том, чтобы сохранить этот access_token в моей таблице «пользователей» MySQL. Таким образом, мы можем проверить, существует ли пользователь и имеет ли соответствующие разрешения в течение каждого запроса API.

Однако я не уверен, что это самый правильный способ сделать это. Это достаточно безопасно? Как вы лично приступите к этому?

Answer 1

Поскольку этот токен доступа похож на временный пароль, вы действительно можете его сохранить в своей таблице.

Но, как и при хранении паролей, вы можете захотеть хэш и солить токен (в зависимости от того, насколько относительно легки ваши лексемы можно догадаться). Узнайте, почему и как здесь: Secure hash and salt for PHP passwords