oauth-2.0 - 为什么 Office365 OAuth2 刷新 token 在密码更改时过期？

Question

我正在测试 OAuth2 在 MS Office 365 中的使用，以便读取日历事件，并且只需阅读 this blog post 中的以下内容:

...the refresh token, while long living, becomes invalid at some point too. One example is if the user changes their password, refresh tokens become invalid.

根据我与其他 OAuth2 提供商的经验，刷新 token 不应在用户更改密码时过期(这不是 token 的主要用途之一 - 允许密码独立访问吗？)。

我错过了什么吗？密码更改时刷新 token 过期的原因是什么？

Answer 1

密码泄露后可能会发生密码更改。访问和刷新 token 可能已在密码泄露和检测之间的时间内发出，这些 token 需要撤销以及密码重置。为了简化管理——违规的确切时间可能很难检测——所有访问权限都被撤销，需要由资源所有者明确重新分配。