0

Tengo la siguiente duda sobre la Session cuando se usa Oauth como autenticación , como sabemos en una Session Web , esta se mantiene activa ( al menos en la mayoría de los casos ) y cuando se queda inactiva es borrada por el servidor, en caso de usarla de nuevo antes de ese tiempo , la Session toma de nuevo el tiempo máximo y así hasta que no se use todo ese tiempo de expiración de Session. Y si el usuario intenta ingresar de nuevo entonces es redireccionado a el login.

Session Inactiva Time out 10 minutos.
Si usuario usa a los 5 minutos de estar inactivo este tiempo se resetea de nuevo a 10.
este ciclo puede repetirse horas.
cuando finalmente usuario deja inactivo la web por 10 minutos recien se invalida y cuando un momento use se redireccionara al login

.

En Oauth como puedo simular este mismo comportamiento porque al haber un access token que ya tiene un expiración por defecto no es lo mismo, se necesita otra cosa para simular que esta expiración es variable. También hay el refresh token este nos permite obtener mas access tokens pero igual no sirve ni simula el comportamiento de una Session web, hay algún ejemplo para lograr eso ?

Comportamiento Se loguean se le da un access token que es usado hasta que ya no sirva por un tiempo X que no se aumenta , una ves terminado este tiempo ya no hay mas y tendra que logearse de nuevo para obtener uno nuevo

Se loguean se le da un access token que es usado hasta que ya no sirva por un tiempo X que no se aumenta , una ves terminado este tiempo usa el refresh token que puede durar meses o años y va obteniendo access token.

2
  • Se me ocurre que cuando el usuario entre le emitas de nuevo el access token con con el tiempo nuevo, pero tendrias que redirigirlo al endpoint de oauth de alguna manera y saltarte algunas partes del proceso, no se si los clientes oauth permitan eso...
    – yorodm
    Commented el 27 ene. 2017 a las 15:55
  • Estaba pensando usar un header mas como un session id para controlar esto de la expiracion y un scope para detectarlo y usarlo , en caso de no hacerlo el oauth trabajaria normalmente como dice la especificacion y asi podria usar el api como una web normal , no si es correcto y no violo nada del standar. Commented el 27 ene. 2017 a las 16:11

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.