1

Tengo una consulta en una aplicacion OAuth y en caso de que el access token haya caducado quiero automáticamente pedir uno nuevo al token endpoint pero, ¿cómo hago eso en la misma cadena de eventos?

Es decir:

El sistema pide el recurso con el access token pero este es rechazado.

Requiero que el mismo sistema y sin la participación del usuario pida un nuevo token al token endpoint y con el nuevo se pida el recurso.

Este proceso debería ser transparente a sólo un click, ¿alguien tiene idea como se hace eso en Angular 2?

0

2 respuestas 2

2

Si estas usando Oauth lo recomendable es que tu servicio regrese 3 cosas

  • Tiempo De vida: para saber cuando caduca
  • accessToken: su nombre lo dice
  • Refreshtoken: el refresh token permite solicitar más accesstokens

El refreshtoken no tiene fecha de expiración como el accesstoken y generalmente es de UN SOLO USO, una vez usado ya no funciona más, a diferencia del access token que si puedes seguir usandolo, por lo que si la petición del nuevo accesstoken falla entonces el usurio tendra que introducir nuevamente sus credenciales (se tendra que logear de nuevo vamos).

Una vez usado el refreshtoken debe regresar las mismas 3 cosas.

Lo que recomiendo es que guardes el refreshtoken en tu servidor de applicación y hagas mediante ajax/$http una llamada a algun endpoint (ej. https://midominio/api/v1/refreshtoken) para que el servidor tramite con el servidor de autenticación el nuevo accesstoken.

La implentación del lado del cliente varia dependiendo del servidor de autenticación y que librería de Oauth este usando.

Este proceso algunos lo llaman el "baile de Oauth" seria cada que tu token caduque, es molesto si pero esta pensado para la seguridad al fin y al cabo.

18
  • Hola está parte : El refreshtoken no tiene fecha de expiración como el accesstoken y generalmente es de UN SOLO USO, una vez usado ya no funciona más, a diferencia del access token que si puedes seguir usandolo, por lo que si la petición del nuevo accesstoken falla entonces el usurio tendra que introducir nuevamente sus credenciales (se tendra que logear de nuevo vamos). CREO QUE NO ES CORRECTA EL REFRESH TOKEN SE USA PARA CONSE GUIR VARIOS ACCESS TOKENS Y SI CADUCA TAMBIEN SOLO QUE ESTE DEPENDE DE LA LOGICA DE APLICACIÓN Y EL ACESS TOKEN SI TIENE CADUCIDAD Commented el 23 mar. 2017 a las 23:49
  • El protocolo ya está funcionando pero nada me impide usarlo para un app web y que los accesos tokens caduquen digamos en 10 minutos y yo pida uno nuevo es por eso que pregunto si alguien por favor me guía como hago un consumo como expliqué. Ya que es una app web se basa en una session por inactividad o cierre que es cua do realmente caduca la session independiente del access token y por eso cuando esté caduca tengo que pedir uno nuevo Commented el 23 mar. 2017 a las 23:57
  • Y el usuario no debería darse cuenta que al fallar el antiguo automáticamente pido uno nuevo y vuelvo a consumir el recurso con el nuevo token en este caso NO TENGO OTRO SERVICIO CON EL QUE INTERACTUO YO SIRVO DE OAUTH Y TAMBIEN DE RESOURCE SERVER Y LA WEB DE CLIENTE EL BAILE ESE ES ENTRE EL CLEINTE Y AMBOS SERVIDORES Commented el 23 mar. 2017 a las 23:59
  • encontre la parte que te digo : tools.ietf.org/html/rfc6749#page-14 Commented el 24 mar. 2017 a las 0:13
  • en esa hoja dice que el cliente puede ser una aplicacion web con credenciales publicas es decir que el refresh token y access token pueden estar en el cliente interactuando completamente con el servidor OAUTH sin otro extra Commented el 24 mar. 2017 a las 0:14
1

buenos dias, luego de tanta discusión y luego de haber leido este link que me parece el mas razonable : http://www.redotheweb.com/2015/11/09/api-security.html lo que se debe utilizar es un cookie y un token tambien en el session storage o localstorage lo que hace invulnerable a ataques "directos" por ambos lados, es decir hacer llamadas desde otro dominio o hacer llamadas por insercion de scripts, para que sea totalmente seguro ya sea usar oauth u otro.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.