security - OAuth2 中刷新 token 有什么好处

Question

这个问题已经有答案了:

Why Does OAuth v2 Have Both Access and Refresh Tokens? (21 个回答)

已关闭 3 年前。

基于The OAuth 2.0 Protocol Refresh Tokens用于重新验证访问 token ，主要是通过将刷新 token 保存到数据库中并控制它们来维护撤销。这样做有什么好处呢？为什么不保存Access Token本身？

Answer 1

访问 token 的有效期很短，通常只能使用 1 小时。为了获取新的访问 token ，您可以使用刷新 token 。

第24页

Authorization servers SHOULD issue access tokens with a limited
   lifetime and require clients to refresh them by requesting a new
   access token using the same assertion if it is still valid.
   Otherwise the client MUST obtain a new valid assertion.

通过发送刷新 token 并请求新的访问 token ，身份验证服务器有机会验证您是否仍然具有访问权限并且用户尚未撤消您的访问权限。

回答下面的原因:

访问 token 生命周期较短的原因是，如果它们被泄露，攻击者使用它的时间有限。通常会在一小时内过期。

如果刷新 token 被泄露，它就毫无用处，因为黑客无权访问客户端 ID，客户端 ID 必须同时发送到身份验证服务器才能获取新的访问 token 。