Access Token opslaan in database?

Ik ken de API van Instagram niet, maar volgens mij is er een algemene end-point voor de API die de laatste feeds van een bepaalde user toont. Daar hoef je niet bij de user om (lastige) API-codes te vragen.

Hier kan je meer vinden over de Instagram API:
https://developers.facebook.com/docs/instagram-basic-display-api

Guides:
https://developers.facebook.com/docs/instagram-basic-display-api/guides/getting-access-tokens-and-permissions

Schijnt dat er recent 'major changes' zijn geweest voor de Instagram API:
https://embedsocial.com/blog/instagram-api-changes-2020/

Ze hebben nu twee varianten, eentje waarbij je ook kan reageren etc (Graph API) en eentje waarbij je alleen de foto's kan laten zien (Basic Display API). Ik ben bezig met die tweede variant.

Maar de gebruiker moet eerst toestemming geven aan de App door middel van de Authorization. Het accepteren daarvan is het enige dat de gebruiker zelf hoeft te doen. De gebruiker hoeft zelf dus niks met API-codes te doen. Daarna wordt de gebruiker geredirect en kan je de ?code=... uit die redirect link halen en via cURL inwisselen voor een access token. En die kortlevende token kan je weer inwisselen voor een langlevende token.

Maar om dus de User Media op te halen heb je uiteindelijk dus het Access Token nodig:
https://developers.facebook.com/docs/instagram-basic-display-api/guides/getting-profiles-and-media

Die tokens zijn (zo te zien) aan jouw client_id gekoppeld. En je kunt ze "kort" gebruiken (geen idee hoe kort) nadat je ze icm je client_secret hebt "ingewisseld". Mocht je database dus lekken, dan heb je niks aan die tokens (tenzij ze ook meteen je client_secret er bij jatten). Maar in dat geval kun je (jij, als app ontwikkelaar) dus altijd nog je client_id (App ID) terugtrekken (en een nieuw aanmaken).

Dit hele circus is hier ook juist voor bedoeld (dat er geen "waardevolle" informatie bij een 3e partij terecht komt). Vroeger werkte zoiets vaak via "geef ons je gebruikersnaam + wachtwoord, en dan post-en wij wat dingen voor je", maar als een database dan "op straat lag" lag ook meteen je hele account te grabbel. Dmv deze tokens is je account altijd veilig, hooguit wat tijdelijk ongemak (een gebruiker kan een app ook altijd de toegang ontzeggen).

Ok, zo schatte ik het zelf eigenlijk ook in, maar omdat ik niet zo bekend ben met API's en access tokens wilde ik het toch even navragen. De veiligheid staat toch voorop. Het access token leek me inderdaad ook specifiek te zijn voor mijn App, en dan zijn de gevolgen in geval van een lek beperkt ja. Bedankt voor jullie hulp!