Discord OAuth访问令牌的存储与调用规范方案问询

我正在开发Discord机器人的仪表盘，前端是SolidJS构建的SPA，后端是负责API调用和用户数据获取的Express Node.js服务器。

当前流程：点击应用内登录按钮，通过生成的Discord OAuth授权链接获取客户端代码，把浏览器收到的代码发送到后端的/api/auth/login路由；后端调用Discord API拿到Bearer访问令牌，直接存入Cookie；前端调用后端接口时从Cookie取出令牌，放到Authorization头部里。

因为需要通过Discord API（比如users/@me、users/@me/guilds）处理请求前验证用户身份，所以每次调用都得带令牌。但现在的问题是，每次API调用传的都是未加密的原始Discord访问令牌，我不知道该怎么妥善存储和安全传输它。

我的疑问：

1. 这种把令牌附加在Authorization头部随每次调用发送的方式是否正确？
2. 当前把授权码发送到后端获取访问令牌的流程是否合理？还是应该由前端直接调用获取令牌？如果是后者，该怎么存储和保护令牌？

解答 #

1. Authorization头部传输令牌的方式是否正确？ #

这种方式符合OAuth2 Bearer令牌的标准规范，是正确的，但必须配合以下安全措施：

• 强制使用HTTPS传输，确保令牌在网络链路中不会被明文截取；
• 绝对不要将令牌放在URL参数中——URL会被记录在浏览器历史、服务器日志里，泄露风险极高。

2. 授权码流程的选择与令牌保护方案 #

当前后端处理授权码的流程是合理的（推荐）

这是OAuth2中最安全的授权码模式，完全适配前后端分离场景，核心优势和优化点：

• 后端持有Discord客户端密钥，避免密钥暴露在前端（如果前端直接调用Discord API拿令牌，密钥必须硬编码在前端代码中，极易被反编译窃取）；
• 你当前直接存储Discord原始令牌到Cookie的做法有风险，应该调整为：后端生成自己的会话令牌（比如JWT）存入Cookie，前端用这个会话令牌调用后端接口，后端再用存储的Discord原始令牌去请求Discord API。这样前端永远接触不到Discord的原始令牌，风险大幅降低；
• Cookie必须配置安全属性：

  res.cookie('session_token', your_jwt_token, {
    httpOnly: true, // 禁止前端JS读取，防范XSS攻击
    secure: process.env.NODE_ENV === 'production', // 生产环境仅通过HTTPS传输
    sameSite: 'strict', // 防范CSRF攻击
    maxAge: 24 * 60 * 60 * 1000 // 有效期与Discord令牌保持一致
  });
  

  配置HttpOnly后，前端无法读取Cookie，之前“前端取令牌放Authorization头部”的流程可以简化：后端处理前端请求时自动从Cookie中取出会话令牌，验证后再用Discord原始令牌调用第三方API，全程无需前端参与令牌传递。

如果一定要前端直接获取令牌（不推荐）

若因特殊需求必须让前端直接调用Discord API拿令牌，只能使用OAuth2的隐式授权模式，但需做好以下防护：

• 令牌存储：用sessionStorage而非localStorage——sessionStorage在页面关闭后自动清除，减少令牌被盗用的窗口；绝对不要存入Cookie（隐式模式下令牌返回给前端，无法存入HttpOnly Cookie）；
• 传输规则：必须用HTTPS，且令牌仅能放在Authorization头部；
• 有效期控制：尽量设置短有效期，同时启用Discord的刷新令牌机制（如果支持）；
• XSS防护：前端需严格过滤用户输入、禁用危险脚本注入，任何XSS漏洞都能直接窃取令牌。

内容的提问来源于stack exchange，提问作者y3v4d