OAuth2 `expires_in` 目的

Question

我正致力于通过 OAuth 合并外部 API，但对 expires_in 属性的用途有点迷惑。通过阅读，应该对 api token 的使用进行防御性编码，因为您应该预料到 token 在任何时候都可能无效。如果是这样，存储过期时间有什么好处？

Answer 1

我同意你原来的观点。默认情况下忽略 expires_in 字段并重新验证并在收到 401 时使用新 token 重试 API 调用。expires_in 字段可用作所需的优化，但它不能正确处理客户端和服务器之间的时钟差异 - 或者更新 token 签名 key 。我个人从不使用 expires_in。