security - 用户可以在 oauth 2.0 中一次拥有两个有效 token 用于身份验证代码授予类型吗？

Question

*我有一个与 oauth token 相关的简单问题，所以我的要求是用户可以有多个范围，比如 A 和 B，他已经为它生成了 token ，但后来​​他需要范围 A 和 B 并且他以前的 token 是有效的，所以在那种情况

我们应该更新现有 token 的范围吗？

我们应该为新范围生成新 token 吗？

还是应该为单个用户生成多个 token ？

Answer 1

如果您想更新现有 token 的范围，并且您的授权服务器为其提供了一种机制，请执行此操作。事实上，某个授权服务器实现提供了 Web API 来更新现有访问 token 的范围(/auth/token/update API，/auth/client/authorization/update API)。
访问 token 是否可修改取决于每个授权服务器的实现。例如，如果访问 token 实现的类型是“自包含”(例如 JWT )，则访问 token 不可修改。另一方面，如果类型是“随机字符串”(在这种情况下，实际数据存储在授权服务器后面的数据库中)，则访问 token 可能是可修改的。有关详细信息，请参阅“Full-Scratch Implementor of OAuth and OpenID Connect Talks About Findings”中的“7.1. 访问 token 表示”。
一些授权服务器实现为用户和客户端应用程序的一个组合发布多个访问 token ，而其他实现只为该组合发布一个访问 token 。某个授权服务器实现提供了一个配置标志，使您能够选择以下任一行为。另见 this answer .

您应该采用哪种方法取决于您的用例。寻找最适合您的用例的授权服务器实现。