如果我正在通过Oauth构build应用程序进行身份validation，那么使用Cookie进行会话有意义吗？

这是一个开放式的问题，我很好奇人们的想法：当你有一个应用程序使用Twitter的Oauth进行身份validation来设置“记住我”Cookie时，是否有意义？ 这样，如果在特定的时间段内，它不必击中Oauth服务并重新创build会话？

我希望这是明确的。 好奇你的想法。

Answer 1

这取决于您通过使用Twitter身份validationstream程login用户之前等待多长时间。 如果你的cookies有很长一段时间的持续时间，他们不会经常重复这个stream程，但是如果有人偷了cookies，他们将有更长的时间访问。 如果他们从Twitter注销并且cookie过期，那么他们必须使用Twitter进行身份validation。 这真的取决于什么样的安全和令牌过期对您的Web应用程序有意义。

Answer 2

OAuth与Cookie无关。 您应该存储您的访问令牌并使用它，直到它到期。 访问令牌到期是一个服务器控制的进程，你必须处理给你HTTP未授权的情况，并得到一个新的访问令牌。

在您的应用程序中具有“记住我”function是您的应用程序逻辑。 您仍然可以控制是否要每次都向用户显示Twitter的身份validation屏幕。 请记住，如果您的到期超时时间超过了twitter的访问令牌使用期限，那么您将不得不再次让最终用户进行身份validation。

Answer 3

这应该不重要。 当应用程序使用OAuth时，它会获取应该使用您的帐户信息存储的令牌。 然后，当你回来时，它可以查找令牌并使用它来访问你的Twitter帐户。

如果你没有cookie，你可以login到应用程序，它会存储你的令牌。 如果你这样做，那么你可以跳过这个login步骤。 在任何情况下，您都不得不再次login到Twitter（直到令牌过期）。