php - Laravel Passport - tokensExpireIn、refreshTokensExpireIn 和personalAccessTokensExpireIn 之间有什么区别

Question

你好，我是 Laravel 护照的新手，有人能告诉我 tokensExpireIn、refreshTokensExpireIn 和 personalAccessTokensExpireIn 之间有什么区别吗？

Answer 1

访问 token 携带必要的信息以直接访问资源。换句话说，当客户端将访问 token 传递给管理资源的服务器时，该服务器可以使用 token 中包含的信息来决定客户端是否获得授权。访问 token 通常有一个到期日期并且是短暂的 ( tokensExpireIn )。
刷新 token 携带获取新访问 token 所需的信息。换句话说，每当需要访问 token 来访问特定资源时，客户端都可以使用刷新 token 来获取认证服务器颁发的新访问 token 。常见用例包括在旧访问 token 过期后获取新访问 token ，或首次访问新资源。刷新 token 也可以过期，但生命周期相当长 ( refreshTokensExpireIn )。
刷新 token 背后的想法是，如果访问 token 因生命周期短而遭到破坏，则攻击者只有有限的时间来利用它。
刷新 token ，如果被破坏，将毫无用处，因为攻击者除了刷新 token 之外还需要客户端 ID 和密码才能获得访问 token 。
个人访问 token 用于用户可能希望为自己生成访问 token 而不通过标准授权代码重定向流的地方。允许用户通过您的应用程序的 UI 向自己发布 token 可能有助于用户使用您的 API，或者可以作为一种更简单的方法来发布访问 token 。这些 token 通常是长期存在的 ( personalAccessTokensExpireIn )，但也可以通过 UI 管理生命周期。 Github 就是一个例子:https://docs.github.com/en/github/authenticating-to-github/creating-a-personal-access-token