security - 存储 oauth access_token 或在每个“会话”中询问一个新的

Question

我正在玩支持oauth的服务的api。我设法从服务中检索了 access_token，现在我可以调用 api 的各个端点。到目前为止，一切都很好。

现在我的问题是：我能持有我收到的这个 access_token 多久。这是我永远保留的令牌，还是会在一段时间后过期？我正在开发一个桌面应用程序，所以我有两个选择：

• 每次打开应用程序时我都会请求一个新令牌
• 我将令牌存储在某处并重新使用它

存储此令牌的最佳实践是什么？

Answer 1

通常访问令牌跨会话存储。存在过期（使用 OAuth 2.0），但刷新令牌随后用于检索新的访问令牌。如果您不存储令牌，那么您需要让最终用户在每次他们想要使用您的应用程序时重新授权（这可能不是您想要的体验）。