0

我们在 API Connect/Datapower 中开发了 OAuth/OIDC 服务。

当用户请求新的 refresh_token 时 - 如果流程中发生任何意外错误，则不会发出新的 refresh_token，并且他们现有的 refresh_token 会被撤销。这会强制用户通过新的同意流程。如果大量客户由于某些意外错误而受到影响，这可能会出现问题。我们希望旧的 refresh_token 在这种情况下仍然有效。

我们向我们的 IBM 支持联系人提出了这个问题 - 他说这按预期工作（即 - 它应该撤销旧的 refresh_token 作为第一个操作 - 它是单次使用的，无论结果如何）。

他确实建议可以将 refresh_token 配置为多次使用，直到它被撤销/过期。

我不确定如何执行此操作 - 或者它支持哪些版本。他说'（在 2018.4.1.x 中）？对于 v5 gw，请使用扩展来启用它，您将需要最新的 DP 固件版本才能实现上述功能。很难弄清楚这一点。IBM 开发者论坛甚至将我引导至 Stack Overflow……

有没有人有更多关于启用 refresh_token 多次使用的信息/经验？或者支持哪些版本（或任何有关此的文档的链接）？我正在努力寻找任何具体的东西。

谢谢

4

3 回答 3

0

对于 IBM API Connect 版本 2018.4.1，您可以指定 OAuth 提供者的刷新令牌是否为一次性使用。

请参阅 OAuth 本机提供程序>令牌屏幕。

于 2019-02-15T01:11:21.317 回答
0

我想他在谈论计数配置。它位于Enable refresh tokens正下方。

“OAuth 2”部分 -> 令牌 -> 启用刷新令牌 -> 计数

希望这会有所帮助

于 2019-01-31T15:40:12.100 回答
0

访问令牌过期后，如果在 OAuth 提供程序 API 中启用了该选项，则应用程序可以使用刷新令牌。每个刷新令牌在发出后大约 31 天内有效，并且只能使用一次来请求新的访问令牌。除了新的访问令牌，还会返回一个新的刷新令牌。

于 2019-02-15T19:46:08.197 回答