短答:重试运输操作,决不是OAuth的意思:保持一次可持久授权的尝试,接受其回调一次,并让每个下游效果从所记录的状态可以回放.
对于一个 B2B SaaS 账户删除流, 在尝试远程清理之前, 我会屏蔽新的会话, 因为删除数据时, 这就是建筑决定。
它将超时视为缺少知识,而不是失败的证据.
即使在浏览器没有收到回复的情况下,回调也可能已经承诺;即使连接关闭,信使交换也可能到达了对方;一个账户的删除可能在第一次租赁期满后被工人重新测试.
因此,恢复设计必须回答每个边界上一个狭义的问题:我们是否知道行动没有发生,我们是否知道它发生了,还是结果仍然不明?
在OAuth故障恢复过程中,必须保持什么真实性?
第一个变化是授权尝试有一个独立于任何HTTP请求的身份.
存储不透明的流量标识符,预期的回调状态,账户或租户上下文,创建时间,过期,以及小型的状态机器如.,.,.
不要让浏览器刷新创建第二个逻辑尝试,仅仅因为它创造了第二个请求.
第二种变化是单一消费。
授权代码及其状态属于一次尝试;召回处理器在触发副作用前,必须在解剖学上声称尝试.
重复的回调应读取先前记录的结果并返回相同的应用程序级别目的地。
它不得再次提供用户,发布另一段内部会话,也不得附加第二次声称第二次登录的审计事件.
完全一次是目标,但HTTP本身无法保证,所以我在商业界使用一个完全一时的心态:一个原子数据库的过渡可以确定谁拥有工作,独特的制约可以拒绝重复效应,一个发包箱可以向同步的消费者进行承诺的工作。
送货还是至少一次 效果不会。
就可审计性而言,记录过渡而不是原始机密。
有用的线索说,流动从 移动到 , 回调尝试 观察到运输超时, 稍后的调节读取存储的结果。
授权代码,令牌和会话 cookie 不属于日志.
这也保持了GDPR删除记录在它曾经提到的被删除的个人字段之后的有用性:在假名操作标识符下保留您政策许可的最低限度遵守证据,并将其与认证材料相分离.
一个边界值得特别对待。
账户删除和会话撤销不是一个远程调用 。
在本地交易中, 标记该账户为删除待决, 提前或取消其会话生成, 拒绝未来的令牌刷新, 并排队清理 。
只有这样,工人才能取消远程赠款并去除依赖性数据。
确切的保留期和法律依据因法域和合同而异;我不确定是否存在普遍的期限,因此,律师和数据清单必须解决这部分问题,而不是重试循环。
先停止访问。
OAuth 故障回收应如何重试授权和召回步骤 ?
通过证据而不是打印出错误的层来分类失败。
连接超时是模糊的。
拒绝验证就是尝试的终结 丢弃浏览器既不是成功也不是协议失败;这是一次已过期的尝试,可以关闭而不产生出错.
这种区分可以防止将整个授权流放入通用的指数回放包件中这一常见错误.
步骤或观察 安全行动 为何授权重定向没有被交付给浏览器 重新发送相同未到期尝试的链接,或者在到期后明确开始新的尝试 重定向是用户导航,而不是盲目重复Callbac的背景命令