引用和自包含令牌(Reference Tokens and Introspection)

访问令牌可以有两种形式:自包含的和引用的。

自包含令牌(Self-contained tokens):
使用受保护的、有时间限制的数据结构，该结构包含元数据，并声明通过网络传递用户或客户机的身份。一种流行的格式是JSON Web令牌(JWT)。自包含令牌的接收方可以通过检查签名、预期的发布方名称和预期的受众或范围来在本地验证令牌。

引用令牌(Reference tokens):
(有时也称为不透明令牌)只是存储在令牌服务上的令牌的标识符。令牌服务将令牌的内容存储在某个数据存储中，将其与一个不可猜测的id关联起来，并将id传递回客户机。然后，接收者需要打开到令牌服务的后端通道，将令牌发送到验证端点，如果有效，则检索作为响应的内容。

引用标记的一个很好的特性是您可以对它们的生命周期进行更多的控制。如果自包含令牌在过期之前难以撤销，则引用令牌仅在其存在于STS数据存储中时有效。这允许出现以下情况:

• 在“紧急”情况下撤销令牌(丢失电话、网络钓鱼攻击等)
• 在用户注销时间或应用程序卸载时使令牌无效
• 引用令牌的缺点是需要从资源服务器到STS的反向通道通信。

从网络的角度来看，这可能是不可能的，有些人还担心额外的往返和STS上的负载。使用缓存可以很容易地修复后两个问题。

我把过去几年的这个概念介绍给我的许多客户，他们喜欢的架构变得越来越像这样:

如果令牌离开了公司的基础设施(例如浏览器或移动设备)，则使用引用令牌在整个生命周期内完全控制。如果令牌仅在内部使用，则自包含令牌是可以的。

翻译原文地址:

https://leastprivilege.com/2015/11/25/reference-tokens-and-introspection/