Qual é o comprimento do access_token no Facebook OAuth2?

Eu pesquisei no Google e no StackOverflow para encontrar uma resposta para minha pergunta, mas não consigo encontrar uma.

Eu gostaria de armazenar o access_token em meu banco de dados para acesso offline e gostaria de ter certeza de especificar o comprimento correto de minha coluna.

Não consigo nem descobrir se é apenas um número ou uma mistura de número e cordas.

Trabalho no Facebook e posso dar uma resposta definitiva sobre isso.

Não coloque um tamanho máximo de armazenamento para um token de acesso. Esperamos que eles cresçam e diminuam com o tempo, à medida que adicionamos e removemos dados e mudamos a forma como eles são codificados.

Em um lugar, demos orientações sobre os 255 caracteres. Eu atualizei a postagem do blog que continha essas informações e atualizei nossos novos documentos de token de acesso para incluir uma observação sobre os tamanhos:

https://developers.facebook.com/docs/facebook-login/access-tokens/

Desculpe pela confusão.

Com a recente mudança do Facebook para tokens de acesso criptografados, o comprimento do token de acesso pode ser de até 255 caracteres. Se você estiver armazenando o token de acesso em seu banco de dados, a coluna deve ser capaz de acomodar pelo menos varchar (255). Aqui está um trecho do blog de desenvolvedores do Facebook de 4 de outubro de 2011:

"Com a migração do token de acesso criptografado ativada, o formato do token de acesso mudou. O novo formato do token de acesso é completamente opaco e você não deve depender do formato do seu código. Um campo varchar (255) será suficiente para armazene os novos tokens. "

Postagem completa do blog aqui: https://developers.facebook.com/blog/post/572

Esta resposta não está mais correta, e não consigo encontrar um valor corrigido nos documentos do FB. Temos recebido tokens de acesso com mais de 255 caracteres. Estamos mudando de VARCHAR para SMALLTEXT em vez de tentar coisas à prova de futuro.

Da seção 1.4 de The OAuth 2.0 Authorization Protocol( draft-ietf-oauth-v2-22 )

Os tokens de acesso podem ter diferentes formatos, estruturas e métodos de utilização (por exemplo, propriedades criptográficas) com base nos requisitos de segurança do servidor de recursos. Os atributos de token de acesso e os métodos usados ​​para acessar recursos protegidos estão além do escopo desta especificação e são definidos por especificações complementares.

Procurei as "especificações complementares", mas não encontrei nada relevante e na seção 11.2.2 ele afirma

o Nome do parâmetro: access_token
o Local de uso do parâmetro: resposta de autorização, resposta de token
o Controlador de mudança: IETF
o Documento (s) de especificação: [[este documento]]

O que parece indicar que o parâmetro access_token é definido dentro desta especificação. Acho que o parâmetro é, mas o token de acesso real não foi totalmente desenvolvido.

Atualização: A última versão deste escrito da especificação ( draft-ietf-oauth-v2-31 ) inclui um apêndice que define melhor o que esperar do parâmetro access_token

A.12. Sintaxe de "access_token"

The "access_token" element is defined in Section 4.2.2 and
Section 5.1:

  access-token = 1*VSCHAR

Então, essencialmente, o que isso significa é que o access_token deve ter pelo menos 1 caractere, mas não há limite de quanto tempo definido nesta especificação.

Observe que eles definem VSCHAR =% x20-7E

O token de acesso do Facebook pode ter mais de 255 caracteres. Eu tive muitos erros como ActiveRecord::StatementInvalid: PG::StringDataRightTruncation: ERROR: value too long for type character varying(255)onde o valor era o token de acesso do Facebook. Não use stringcoluna de tipo porque seu comprimento é limitado. Você pode usar a textcoluna de tipo para armazenar tokens.

Recentemente, nosso aplicativo os viu com mais de 100 caracteres. Ainda estou procurando por documentação para poder descobrir um tamanho de campo 'seguro' para eles.

Vou atualizar a resposta do tempo gasto.

Na documentação do OAuth2,

O tamanho da string do token de acesso não é definido por esta especificação. O cliente deve evitar fazer suposições sobre tamanhos de valor. O servidor de autorização deve documentar o tamanho de qualquer valor que ele emita.

(Seção 4.2.2 de deste documento )

Observação: o Facebook está usando OAuth2, conforme mencionado em nesta página .

Portanto, agora, nenhuma informação parece estar disponível no portal de desenvolvedores do Facebook sobre o tamanho do token OAuth. O Yahoo parece usar um token de 400 bits, portanto, é melhor assumir que uma coluna TEXT no MySQL é mais segura do que um varchar.