React Native+Node Express应用中，如何安全存储Google OAuth令牌并实现权限隔离？

一、安全存储Access Token与Refresh Token的建议 #

1. 加密存储令牌 #

绝对不能明文存储令牌，必须用AES-256-GCM这类强对称加密算法对令牌加密后再存入数据库。加密密钥要存储在服务器环境变量中，禁止硬编码到代码或提交至版本控制系统。示例逻辑（Node.js）：

const crypto = require('crypto');
const ENCRYPTION_KEY = process.env.TOKEN_ENCRYPTION_KEY; // 32字节长度密钥
const IV_LENGTH = 16;

function encrypt(text) {
  const iv = crypto.randomBytes(IV_LENGTH);
  const cipher = crypto.createCipheriv('aes-256-gcm', Buffer.from(ENCRYPTION_KEY), iv);
  let encrypted = cipher.update(text);
  encrypted = Buffer.concat([encrypted, cipher.final()]);
  return `${iv.toString('hex')}:${encrypted.toString('hex')}:${cipher.getAuthTag().toString('hex')}`;
}

function decrypt(text) {
  const [ivHex, encryptedHex, tagHex] = text.split(':');
  const iv = Buffer.from(ivHex, 'hex');
  const encryptedText = Buffer.from(encryptedHex, 'hex');
  const tag = Buffer.from(tagHex, 'hex');
  const decipher = crypto.createDecipheriv('aes-256-gcm', Buffer.from(ENCRYPTION_KEY), iv);
  decipher.setAuthTag(tag);
  let decrypted = decipher.update(encryptedText);
  decrypted = Buffer.concat([decrypted, decipher.final()]);
  return decrypted.toString();
}

2. 强化数据库安全防护 #

• 限制数据库账号权限：应用服务器使用的数据库账号仅授予令牌表的SELECT/INSERT/UPDATE/DELETE权限，禁止DROP/ALTER等高危操作权限。
• 启用加密机制：云数据库开启静态存储加密与SSL/TLS传输加密，防止数据在存储或传输过程中被窃取。
• 开启审计日志：记录所有访问令牌表的SQL操作，便于事后追溯异常行为。

3. 令牌生命周期管理 #

• 定期轮换Refresh Token：每次调用Google API刷新Access Token时，请求获取新的Refresh Token（Google支持返回新Token），并立即更新数据库中的旧Token。
• 注销时清理令牌：用户主动注销或账号异常时，删除数据库中对应令牌，同时调用Google的Revoke API作废该Refresh Token，避免被盗用。

二、确保用户仅能访问自身令牌的方案 #

1. 会话身份验证 #

用户登录后，服务器生成包含唯一user_id的安全会话凭证（如带HttpOnly/Secure属性的Cookie，或签名JWT），所有涉及令牌操作的API接口必须先验证会话凭证有效性，提取当前用户的user_id。

2. 强制参数化查询 #

查询令牌时必须以当前用户的user_id作为查询条件，使用参数化查询避免SQL注入，同时确保仅返回当前用户的令牌数据。示例SQL：

SELECT encrypted_token FROM user_tokens WHERE user_id = ?

绝对禁止无条件查询或动态拼接SQL语句。

3. 服务器端二次校验 #

即使数据库查询返回结果，服务器端需再次校验返回数据的user_id与当前会话的user_id是否一致，防止因数据库配置错误或其他漏洞导致越权访问。

额外注意事项 #

• 所有Google API调用必须在服务器端完成，禁止将Access Token或Refresh Token返回至客户端，避免令牌暴露给前端。
• 定期扫描服务器依赖包漏洞（如使用npm audit），及时修复安全隐患。
• 记录令牌使用日志，包括Refresh Token刷新时间、API调用次数等，便于排查异常行为。

内容的提问来源于stack exchange，提问作者Matt