oauth-2.0 - 如何在不重新登录的情况下获得具有额外范围的新访问令牌？

Question

我正在与 Cloudfoundry UAA 合作

我不确定在标准 oauth2 中是否可行。情况是->

1. 用户登录应用程序
2. 他收到一个 access_token 和 refresh_token
3. 他可以继续获取具有原始范围的新 access_tokens
4. 他的访问权限发生了变化，因此为他添加了新的范围

现在我需要一个新的访问令牌，没有他再次登录。我是否可以使用相同的 refresh_token 并要求 access_token 修改范围？

提前致谢！

Answer 1

总之没有。这将违反用户的信任。如果你没有听说过，那是一件坏事。

有一个 Internet Draft RFC OAuth 2.0 Incremental Authorization （由 Google 提出）这里有一些讨论。