oauth - 刷新 OAuth2 访问 token 的正确范例

Question

我正在使用一个使用 OAuth2 的 API，提供一个在 3600 秒后过期的访问 token ，并提供一个刷新 token 。最初，我等待 API 调用以指示访问 token 已过期的方式失败，然后尝试使用刷新 token 刷新访问 token 。当访问 token 过期并且同时进行多个 API 调用(每个调用分别触发刷新并且大多数调用失败)时，这会成为问题。

在 3600 秒后使用刷新 token 自动刷新访问 token 会不会更好？ (或 3599 秒或 3601 秒？)我应该使用不同的范例来刷新访问 token 吗？

Answer 1

理想情况下，客户端应该有足够的智慧不使用过期的访问 token 。幸运的是，来自 OAuth AS token 端点的响应应包含 expires_in 属性以确认将在 3600 秒后过期。例如:

{"token_type":"Bearer","expires_in":3600,"refresh_token":"p8BPdo01kkjh6fhatclD3wwBEQblm4kL4ctYRVlrHo","access_token":"9XebAAXeu6hQOAiwmOk8vdhRyUFV"}

由于此 JSON 响应是由服务器生成的，因此传输回客户端可能需要时间，因此“expires_in”值可能比显示的要小。

鉴于此，我建议您在到期前有某种缓冲(比如 5-10 秒)以自动使用您的刷新 token 来请求新的访问 token 。