access tokenとid tokenはどこに保存したら良いのでしょうか

Question

サービスにlogin処理を実装しています。
認可サーバから得たaccces tokenとid tokenはサーバー、クライアントどちらに保存したほうが良いのでしょうか？
どちらでも良いのでしょうか？

Answer 1

「ログイン」＝「ユーザー認証」ですよね。

であれば、質問者さんのケースでも認証というのはサーバー側からの「あなたは誰？」という問いに答えるということで、「認可サーバから得たaccces tokenとid token」はそのためのクレデンシャルでしょうから、クライアント側で保持してログインするときにサーバーに提示するという話になると思いますけど。

Comments

[a.‫com]

クライアントで保持すべきということですか？

[otn]

> クライアントで保持すべきということですか？
聞き返すまでもなく回答にそう書いてありますよね。読み取れなかったのでしょうか？
あるいは聞き返した別の理由があるならそれを書かないと回答者は同じ回答を繰り返すことしか出来ません。
ただ、OAuth2タグが付いているので、質問はおそらく、外部サービスのOAuthを使った利用で、その外部サービスに送る認可情報の自システム内での保持方法を聞いていると思うので、もしそうなら回答の文章が適合してない気がします。

Answer 2

サーバーに保存できるならサーバーに、できないならクライアントに保存するしかありません。構成次第です。

Comments

[a.‫com]

ありがとうございます