OAuthトークンの使いまわしについて

Question

Railsのウェブアプリをさわっているのですが
ページ遷移するごとに OAuth 認証して全く同じトークンを何度も取得しているみたいで
ログイン時に１度アクセストークンをもらったら
それをセッションに保存して使い回すというのはセキュリティ的にまずいのでしょうか

そもそもRailsにもJSのsessionStrageみたいな他セッションに見られないセッションごとのストレージみたいなものはあるのでしょうか

Answer 1

それをセッションに保存して使い回すというのはセキュリティ的にまずいのでしょうか

OAuth 2.0のアクセストークンには有効期間(expires_in)がついているはずです。このアクセストークンの有効期間内であれば使いまわして問題ないかと思います。

なお、OAuth 2.0の認証の方式は大きく4つあります。
「OAuth 2.0の代表的な利用パターンを仕様から理解しよう」https://www.buildinsider.net/enterprise/openid/oauth20に詳しいですが、RailsによるWebアプリであれば、「Authorization Code（認可コード）フロー」を使えるはずです。この場合、アクセストークンに加えてリフレッシュトークンというものが発行できます。リフレッシュトークンがあれば有効期間が切れた後でも新たなアクセストークンが取得できます。
（ひょっとして「ページ遷移するごとに OAuth 認証して全く同じトークンを何度も取得しているみたいで」というのはこのリフレッシュトークンを使ったフローだったりしますか？）。

そもそもRailsにもJSのsessionStrageみたいな他セッションに見られないセッションごとのストレージみたいなものはあるのでしょうか

RDBMSにセッション情報を保存するActive Record Session Storeとかはあります。RedisもCache StoreをSession Storeに使えるような（Rails 5.2でRedis Cache Storeが標準でついたので、ここは最近変更になっているようです）。

Comments

[退会済みユーザー]

実際にプログラム内でなにをやっているかは認証関連のコード読まないと分からないです

コントローラーの修正をやっていたところ
毎回最初に Authentication 関連のメソッドを呼んで返り値でアクセストークンを取得していて
その際に何かの通信が発生してるので疑問に感じたんですが
RDBMS? やローカルのDBとの通信の可能性もあるんですね

非常に丁寧な補足までしていただいてありがとうございました