3

我已经看过了

为什么 OAuth v2 既有访问令牌又有刷新令牌？

https://auth0.com/blog/refresh-tokens-what-are-they-and-when-to-use-them/

据我了解，这就是 OAuth v2 的工作方式：

1) 用户将他的凭据发送到验证它并返回一个access_token和一个的服务器refresh_token

2) 用户将此acsess_token连同进一步的请求一起发送以表明自己的身份

3）当access_token过期时，用户向服务器发送另一个请求，并请求一个新的和refresh_token其他必需的参数access_tokenrefresh_token

这是我的问题：

有什么需要分开的refresh_token？为什么不发送旧的access_token（反正即将过期）换新的？

使用 a 的额外优势是refresh_token什么？

4

1 回答 1

2

理论上，访问令牌更有效。它可以在浏览器中，在客户端的服务器端，在授权服务器上或在资源服务器上。访问令牌将附加到每个 API 请求，而刷新令牌的使用频率应低得多。

几句来自网络的...

与访问令牌不同，刷新令牌仅用于授权服务器，并且永远不会发送到资源服务器。 https://www.rfc-editor.org/rfc/rfc6749#section-10.4

[刷新令牌]通常受到严格的存储要求，以确保它们不被泄露。 https://auth0.com/learn/refresh-tokens/

基本上，如果我们只有访问令牌，攻击面会更大。

于 2017-11-05T11:57:26.547 回答