Ijtimoiy tarmoq OAuth tokenlarini xavfsiz saqlash va yangilash

OAuth tokenni qayerda va qanday saqlash kerak?

Access token qancha amal qiladi: platformalar jadvali

Rasmiy hujjatlar bo'yicha (2026-09-17). Muddatni doim javobdagi expires_in dan hisoblang — jadvaldagi raqamni kodga qattiq yozmang.

boryo'qJadvalni yon tomonga suring

Refresh strategiyasi: tokenlarni qachon va qanday yangilash

1. 1

   Muddatni saqlang

   Har yangilashda expires_at va (bo'lsa) refresh_expires_at ni yozing. Ular TokenBundle da tayyor.

2. 2

   Oyna bo'yicha rejalashtiring

   Masalan, har soatda: TikTok — 4 soatdan kam qolganlar, Instagram Login — 10 kundan kam qolganlar (token kamida 24 soatlik bo'lsin), LinkedIn — refresh token bo'lsa 7 kundan kam qolganlar.

3. 3

   Bitta token — bitta yangilovchi

   Qator darajasida qulf qo'ying. TikTok va amoCRM'da refresh token almashadi: ikki ishchi parallel yangilasa, ikkinchisi eskirgan token bilan xato oladi.

4. 4

   Atomar yozing

   Yangi access va refresh tokenni bitta tranzaksiyada saqlang. Yozish muvaffaqiyatsiz bo'lsa, yangi refresh token yo'qoladi va akkaunt uziladi.

5. 5

   Xatoni ajrating

   AuthError — holatni reauth_required qiling va foydalanuvchiga qayta ulash havolasini yuboring. RateLimitError yoki TransportError — keyinroq qayta urining.

6. 6

   Refresh yo'q joyda oldindan ogohlantiring

   Facebook user token yoki refresh'siz LinkedIn uchun tugashidan 7–14 kun oldin foydalanuvchiga qayta ulash haqida xabar bering.

Yangilash ishchisi (Socialift SDK)

Bir provayder uchun bitta klient yetadi: token har metodga argument sifatida beriladi, klientda saqlanmaydi.

from socialift import ApiError, AuthError, Instagram, LinkedIn, RateLimitError, TikTok

async def refresh_row(row, tt: TikTok, ig: Instagram, li: LinkedIn) -> None:
    try:
        if row.provider == "tiktok":
            bundle = await tt.refresh_token(decrypt(row.refresh_token_enc))
        elif row.provider == "instagram":
            bundle = await ig.refresh_token(decrypt(row.access_token_enc))
        else:
            bundle = await li.refresh(decrypt(row.refresh_token_enc))
    except RateLimitError:
        raise  # keyinroq qayta
    except ApiError as exc:
        if not isinstance(exc, AuthError) and exc.status != 400:
            raise
        await db.set_status(row.id, "reauth_required")
        return
    await db.save_bundle(  # bitta tranzaksiya
        row.id,
        access_token_enc=encrypt(bundle.access_token),
        refresh_token_enc=encrypt(bundle.refresh_token) if bundle.refresh_token else None,
        expires_at=bundle.expires_at,
    )

Tokenlarni shifrlash: Fernet va kalit almashtirish

cryptography — SDK'ning o'z bog'liqligi. Fernet AES-128-CBC va HMAC-SHA256 bilan autentifikatsiyalangan shifrlash beradi; MultiFernet kalitni almashtirishga imkon beradi.

import os
from cryptography.fernet import Fernet, MultiFernet

# TOKEN_KEYS="yangi_kalit,eski_kalit" — birinchisi bilan shifrlanadi
_keys = MultiFernet([Fernet(k) for k in os.environ["TOKEN_KEYS"].split(",")])

def encrypt(token: str) -> bytes:
    return _keys.encrypt(token.encode())

def decrypt(blob: bytes) -> str:
    return _keys.decrypt(blob).decode()

def reencrypt(blob: bytes) -> bytes:
    """Kalit almashtirilgach fon migratsiyasida: eski yozuvni yangi kalitga o'tkazadi."""
    return _keys.rotate(blob)

Multi-tenant token jadvali qanday tuziladi?

App secret, client secret va shifrlash kalitlari bu jadvalga yozilmaydi — ular secret manager yoki muhit o'zgaruvchilarida turadi.

appsecret_proof nima va nega kerak?

Token bekor qilinganini qanday aniqlash mumkin?

Minimal ruxsatlar va sirlarni boshqarish

• ▸Faqat funksiyaga kerakli scope'larni so'rang; App Review va audit ham shuni tekshiradi.
• ▸Foydalanuvchi ba'zi ruxsatlarni rad etishi mumkin — haqiqatda berilganini saqlang: fb.granted_scopes(token), LinkedIn'da li.introspect(token).
• ▸Har muhit (dev, staging, prod) uchun alohida app va kalitlar; prod tokenlari dev bazaga tushmasin.
• ▸App secret'ni almashtirish rejasini oldindan tuzing: appsecret_proof va webhook imzosi tekshiruvi unga bog'liq — barcha servislarni bir vaqtda yangilang.
• ▸Tokenlarni log, Sentry va analitikaga yozmang; xato matnlarida ham maskalang.
• ▸Telegram akkaunt seans satrini (export_session()) ham token kabi shifrlab saqlang.
• ▸Shifrlash kalitini yiliga kamida bir marta yoki xodim ketganda almashtiring (MultiFernet yoki KMS).
• ▸Qayta ulash kerak bo'lgan akkauntlarni kabinetda ko'rsating — jim uzilish eng qimmat xato.