java - 如何使用服务器刷新身份验证 token

Question

我正在实现客户端-服务器系统。客户端使用用户名和密码登录，(最初)服务器使用 token 响应，该 token 将在几个小时后过期，并用于需要身份验证的其余服务。

token过期后，如何刷新？

• 永久保存用户名/密码(加密)并再次调用登录
• 保存密码的某种哈希值？
• 还有其他选择吗？

我应该如何将密码发送到服务器？

• 客户端应用哈希，服务器只存储它并验证哈希(永远不知道真正的密码)
• 客户端通过安全通道发送原始密码，服务器验证(长度、强度等)并存储哈希？
• 还有其他选择吗？

Answer 1

查看此链接。 -> https://developers.hubspot.com/docs/methods/auth/refresh_token

据我了解，当您首次使用密码/用户名登录时，您应该会得到一个刷新 token ，您可以将其保存(用于刷新)以及访问 token 。每隔一段时间，您就会调用以将 token 刷新到服务器，向其提供刷新 token 和访问 token ，它会为您提供新的访问 token 和刷新 token 。

我认为这个想法是，如果有人看到您的一个请求，他们只能在短时间内冒充您。他们不知道刷新 token ，因此假设他们没有看到您刷新该 token 的请求，当您刷新并获得新的访问 token 时，他们将被切断。

我认为通过安全通道发送密码会很好。

任何人都可以在这里纠正我 - 我只是想帮忙。