oauth-2.0 - Box v2 API 中 refresh_token 的 Oauth 2.0 有效性

Question

oauth 文档说
每个 access_token 有效期为 1 小时，每个刷新令牌有效期为 14 天。要使用 refresh_token 获取新的 access_token，请向https://api.box.com/oauth2/token发出 POST 请求

在此响应中，您将收到新的 access_token 和 refresh_token。您用于发出此请求的 refresh_token不再有效。

问题： 1) 如果偶然我无法存储这个新的 refresh_token，那么旧的 refresh_token 会失效吗？

2）不能有始终有效的刷新令牌，我们只生成access_token吗？

Answer 1

1. 是的，当一个新的 refresh_token 被创建时，前一个就失效了。

2. OAuth 2 规范的一部分包括使旧的 refresh_tokens 失效以换取新的。这不是最引人入胜的读物，但您可以在这里看到所有内容：https ://datatracker.ietf.org/doc/html/draft-ietf-oauth-v2-31

Answer 2

实际上，我们只是更改了这一点，以便在您使用新的访问令牌之前我们不会删除您的旧刷新令牌。