oauth - OAuth 授权码应何时到期？

Question

我知道(在 OAuth 中使用授权代码“授权代码”时)，访问 token 的生命周期应该很短，但刷新 token 的生命周期可能很长。
所以我决定为我的项目:

访问 token 生命周期:1 天

刷新 token 生命周期:30 天

但是授权码的典型生命周期是多少？
我认为它应该非常非常短吗？
也许像 1 小时，甚至只有几分钟？

我找不到任何“最佳实践”。

Answer 1

所有这些都是标准的，但在大多数身份/身份验证服务器中都是可配置的。

授权码

当用户同意应用程序访问他们的数据时，他们会返回一个授权代码。此代码仅在正常情况下使用五分钟。低于此值的任何值都可能导致您出现时钟偏差问题，而且 IMO 真的没有理由让它更长。

访问 token

交换授权码后返回访问 token 。访问 token 。访问 token 通常只能使用 60 分钟。

刷新 token

刷新 token 是长期存在的 token 。以下是谷歌标准。

刷新 token 可以使用六个月，但这次正在下滑。

如果应用程序六个月未使用刷新 token ，则访问权限将被撤销。

用户也可以随时撤销访问权限。

取决于请求的范围。一些刷新 token 在用户更改密码后过期

同样，以上只是谷歌标准。在我工作的身份服务器上。我认为当前的设置是一个月不使用刷新 token 过期。