oauth-2.0 - 带有授权码的刷新 token 的 OAuth2 目的

Question

我想我使用授权代码授权类型获得了 OAuth2 的流程。
资源所有者登录到服务器，然后使用授权码重定向到客户端。然后，客户端使用授权代码向授权服务器查询访问 token 和刷新 token 。这是我感到困惑的地方。

当访问 token 过期时，客户端应该使用授权码还是刷新 token 来获取新的访问 token ？如果您有授权码，为什么还需要刷新 token ？

请注意，我不是在寻找说“刷新 token 是可选的”的答案，因为我正在为 amazon-alexa 编写此服务器，这是一项需要刷新 token 和授权代码授予类型的服务。

Answer 1

如果 oauth2 服务器是根据授权代码的安全准则编写的 RFC 6749 Section 10.5 ，您无法重用它来获取第二个 access_token。

Authorization codes MUST be short lived and single-use. If theauthorization server observes multiple attempts to exchange anauthorization code for an access token, the authorization serverSHOULD attempt to revoke all access tokens already granted based onthe compromised authorization code.

refresh_token 如果被授予，可以使用 refresh_token 授予交换另一个 access_token 和新的 refresh_token。如果在这种情况下 refresh_token 仍然有效，则用户不必重新进行身份验证。