问题标签 [auth-token]

为 Picasa Web 服务调用 authTokenType = "lh2" 的 AccountManager.getAuthToken() 现在不会在 Android 5.x 上返回；带有“lh2”的 getAuthToken 仍然适用于 Android 4.4.x 和 6.x，只是不适用于 5.x。直到 2016 年 8 月至 9 月的某个时候，这对 Lollipop 来说一切正常，并且在那段时间代码或应用程序没有任何变化。

还有其他人在 Lollipop 设备上使用“lh2”的 getAuthToken 遇到这个问题吗？是否有另一种方法可以将帐户身份验证令牌传递给 PicasaWebService？

下面是getAuthToken的相关代码：

谢谢！

我正在尝试从 rest_framework.authtoken.models 导入令牌生成令牌。视图已成功创建，但我正在使用来自 rest_framework.test 导入 APIClient 的 APIClient() 为 post api 编写测试。def test_address_api_auth_token(self):

虽然用户和密码是由模型创建的。但我仍然收到此错误 -> AssertionError: 400 != 200. Error message -> Invalid usernamen and password 。

使用Google 可以存储我的核心问题是所需的授权标头中的 AUTH_TOKEN。

这里解释了如何获取身份验证令牌（服务帐户的 OAuth 2.0）。

请求（上图）需要断言参数，它是使用 RS256 生成的 JWT（下图）。

我在 React Native中使用react-native-jwt.

有没有人在使用 React Native 时绕过 Google 可以存储的授权？

这应该很简单，但我必须遗漏一些东西。所以有一个授权网址，我需要将用户名和密码传递给：

当我调用 AUTHTOKEN_URL 时，结果为“OK”，但 saveFromResponse 似乎从未被调用，所以我认为有些事情是不对的，因为当我对另一个依赖于此身份验证令牌的服务器进行下一次 http 调用时，它不会返回任何数据。

所以我正在研究一个基于位置的 api，其中一个位置有很多用户，并且一个用户在特定时间属于某个位置。这意味着用户表将包含一个用作外键的 location_id 列。然而，这与我开发的大多数应用程序不同，例如，用户将拥有许多“产品”。所以，我在我的 locations_controller.rb 文件中有这个

但我得到了错误

我的问题是：我该如何解决这个问题？我到处搜索，但都无济于事。请帮忙

我的authenticable.rb 文件是

在 Microsoft oData v4 代理客户端中，可以选择将身份验证令牌添加到每个请求中。可以通过以下方式实现：

我怎样才能使用简单的 odata 客户端做同样的事情？

我期待使用用户身份验证令牌从外部应用程序（第三方应用程序，很可能是基于 .NET 的）启动我的 AngularJS (1.6) 应用程序的任何帮助。这个第三方应用程序将对产品进行身份验证和加载列表，当他们单击详细信息时，它应该启动我的应用程序并加载该产品的详细信息，所以我期待知道如何传递 ProductID、用户身份验证令牌（或任何其他方式也许是会话 cookie）

人们通常将权限存储在 JWT 中吗？我见过可能有admin: trueor的例子scopes: ['add_foo', 'delete_foo', 'read_foo']。这似乎很好，除了如果有很多权限/范围，JWT 可能会变得很大。看起来它真的很有用，因为只要可以验证 JWT，您就不需要访问数据库或缓存来获取用户权限。

不过，我的主要问题是，如果发生权限更改，这些将如何失效。

例如，系统管理员 Joe 撤销了用户 Bob 的“add_foo”和“delete_foo”权限，但保留了“read_foo”权限。在这种情况下，用户 Bob 不应该让他的令牌完全失效并需要重新登录，他基本上应该被迫获得一个具有新权限的新 JWT 并照常继续。

我看过一些解释在密码更改时发布新 JWT 的示例，但这里的不同之处在于系统管理员 Joe 对用户 Bob 进行了更新。因此，用户 Bob 在此工作流程中没有机会立即获得新令牌。

大多数示例建议维护已撤销令牌的黑名单，或更改数据库记录 ID 以使令牌不再有效，或拥有每个用户的秘密并更改它。

我看到所有这些都可以用于撤销令牌并测试其无效，但是用户如何获得新令牌？他们当前的 JWT 现在无效了吗？试图用它做任何事情都应该失败。

我见过提到“刷新令牌”。这些用途广泛吗？它们在网络上是安全的还是主要用于难以获得刷新令牌的移动应用程序。通过浏览器开发工具或类似工具窃取刷新令牌似乎相当容易，然后有人将永远访问该帐户，直到发现未经授权的访问并撤销刷新令牌。

也许在这种情况下，强制用户 Bob 重新进行身份验证并不是什么大不了的事？权限可能不会经常更改。

谢谢，迈克。

我正在使用真正的调用者 API 从真正的调用者数据库中获取用户数据。

根据TrueCaller 的 Github 文档，我使用以下代码进行身份验证

问题是我没有根据他们的文档获得身份验证令牌。他们提到身份验证令牌将被发送到应用程序的回调 url。我已经在该回调 url 中输入了一个日志。但是一旦我点击了上面curl，我没有得到授权令牌。

有人用过上面的API吗？我做错了什么或者我应该做些什么来将身份验证令牌获取到回调 url？

我们想为我们的 websocket 使用 django-channels，但我们也需要进行身份验证。我们有一个使用 django-rest-framework 运行的 rest api，在那里我们使用令牌来验证用户，但相同的功能似乎没有内置到 django-channels 中。