cookies - 检索到的 twitter oauth token 如何处理？

Question

我正在编写一个 Web 应用程序，它将使用 twitter 作为其主要登录方法。我已经编写了从 Twitter 获取 oauth token 的代码。我现在的计划是

在我的用户表中查找使用 token 检索的 twitter 用户名的条目，或根据需要创建条目

使用新的 OAuth token 更新 Users.TwitterOAuthToken 列

在站点上创建一个带有随机 guid 的永久 cookie，并在我的 UserCookies 表中插入一条记录，将 Cookie 与用户匹配

当请求进来时，我会在 UserCookies 表中查找浏览器 cookie id，然后使用它来找出用户，并代表他们发出 twitter 请求

将oauth token作为js变量写入一些页面，这样javascript就可以代表用户发出请求

如果用户清除了他/她的 cookie，用户将不得不再次登录 Twitter

这是正确的过程吗？我是否创造了任何巨大的安全漏洞？

Answer 1

听起来不错。

但是，我建议不要使用 Twitter 用户名作为 User 表的主要索引。作为 Twitter 用户名 可以 被改变。我经过惨痛的教训才学到这个。

您应该可以使用 Twitter 用户 ID (big int) 作为主索引，因为如果用户更改其用户名，它不会更改。

至于 token 本身，您可以存储它以备将来使用。事实上，我们鼓励您这样做。