基于OAuth2.0使用Token的移动应用认证

Question

我正在使用 Elixir 的 Phoenix 框架构建一个 REST API。在 API 中，我需要通过电话号码（即通过发送 SMS OTP 代码）对用户进行身份验证。在对用户进行身份验证后，身份验证服务器将访问令牌和刷新令牌发送给客户端。客户端（移动应用程序）将这些令牌存储在本地，并在对资源服务器的每个请求中将访问令牌作为 Authorization: Bearer <Access_Token> 发送到 HTTP 标头中。我的实际问题是，资源服务器如何验证从移动应用/客户端收到的访问令牌？

资源服务器是否需要联系身份验证服务器来验证访问令牌？那将是很多开销。请帮助我了解 RestFull API 身份验证。

感谢您花时间阅读我的问题。

Answer 1

资源服务器如何验证从移动应用/客户端接收到的访问令牌？

夜总会保镖验证您的驾驶执照作为年龄证明以让您进入的方式相同：通过验证授权和签名，但不需要致电您的 DMV 来验证您的执照是真实的，因为它信任签名（在本例中为加密签名）。

也就是说，某些系统确实使用“参考标记”，这些标记很短（比如 32 个字节）无意义的随机数据，它们被用作某些系统的不可预测的记录标识符授权服务器持有的用户权限记录。资源服务器最初需要联系身份验证服务器，但随后它可以简单地将身份验证结果本身缓存一段时间。

Answer 2

听起来您已经准备好验证令牌。您将需要签署令牌的服务器的公钥。这取决于您正在使用的身份验证服务器如何获得它。在某些情况下，您可以将此密钥作为配置设置预加载到后端。否则，您可能可以通过对身份验证服务器的 https 请求获取它。这些天来，大多数身份验证服务器都希望提供一个 JWKS api，您可以使用它来获取所需的密钥。然后使用令牌和公钥，您可以使用您的 elixir jwt 库来验证您拥有的令牌是否由您信任的服务器签名，这意味着 SMS 代码已经过验证，您可以继续处理后端需要处理的任何内容请求。

如果您将 Joken 用于长生不老药，您可以查看 https://hexdocs.pm/joken_jwks/introduction.html 和 https://hexdocs.pm/joken/introduction.html 了解更多信息。