OpenId訪問令牌更新值客戶端

Question

我有一個聲明AllowEmailNotifications，它允許用戶在其配置文件客戶端打開和關閉通知。我最初在他們的用戶配置文件對象中有這個值，它存儲在sessionStorage客戶端，在數據庫中更新以及sessionStorage在切換此值時更新。

將此值移動到訪問令牌並更新也存儲在會話存儲中的訪問令牌客戶端還是被認爲會篡改令牌是否安全？我需要它的服務器端，或者我應該只是打電話給數據庫來獲得這個值的Web服務？

我不確定通過應用程序而不是授權提供程序更新訪問令牌中的值的最佳實踐是什麼？

Answer 1

訪問令牌肯定不應該在客戶端更新。 您的客戶需要簽名密鑰，否則令牌的簽名將會出錯，並且不會再被接受。

我只是保持在數據庫中的設置，並在需要時從那裏得到它。