Authentification par jeton pour les API RESTful : le jeton doit-il être changé périodiquement ?

Question

Je construis une API RESTful avec Django et django-rest-framework .

Comme mécanisme d'authentification nous avons choisi "Token Authentication" et je l'ai déjà implémenté en suivant la documentation de Django-REST-Framework, la question est, est-ce que l'application doit renouveler / changer le Token périodiquement et si oui comment ? Est-ce l'application mobile qui doit demander le renouvellement du jeton ou l'application web qui doit le faire de manière autonome ?

Quelle est la meilleure pratique ?

Quelqu'un ici a une expérience du cadre REST de Django et pourrait suggérer une solution technique ?

(la dernière question est moins prioritaire)

Answer 1

Si vous remarquez qu'un jeton est comme un cookie de session, vous pouvez vous en tenir à la durée de vie par défaut des cookies de session dans Django : https://docs.djangoproject.com/en/1.4/ref/settings/#session-cookie-age .

Je ne sais pas si le cadre de repos de Django gère cela automatiquement mais vous pouvez toujours écrire un court script qui filtre les périmés et les marque comme expirés.