为什么不通过重新发送授权/代码而不是发送刷新令牌来获取新的访问令牌？

Question

我知道访问令牌是短期的，因为它们是在不访问数据库的情况下进行验证的，而刷新令牌是长期的，并且是针对数据库进行验证的。

我不明白的是，为什么最初通过发送授权授予获取访问令牌与后来通过发送刷新令牌获取访问令牌之间存在差异。

查看RFC 6749中的这个图，为什么客户端不在步骤（G）中简单地重新发送授权授权？为什么需要刷新令牌？

  +--------+                                           +---------------+
  |        |--(A)------- Authorization Grant --------->|               |
  |        |                                           |               |
  |        |<-(B)----------- Access Token -------------|               |
  |        |               & Refresh Token             |               |
  |        |                                           |               |
  |        |                            +----------+   |               |
  |        |--(C)---- Access Token ---->|          |   |               |
  |        |                            |          |   |               |
  |        |<-(D)- Protected Resource --| Resource |   | Authorization |
  | Client |                            |  Server  |   |     Server    |
  |        |--(E)---- Access Token ---->|          |   |               |
  |        |                            |          |   |               |
  |        |<-(F)- Invalid Token Error -|          |   |               |
  |        |                            +----------+   |               |
  |        |                                           |               |
  |        |--(G)----------- Refresh Token ----------->|               |
  |        |                                           |               |
  |        |<-(H)----------- Access Token -------------|               |
  +--------+           & Optional Refresh Token        +---------------+

Answer 1

我认为刷新令牌比初始代码更安全是有原因的。

• 代码从身份验证服务器传输到资源所有者的浏览器，然后传输到客户端。刷新令牌不会通过浏览器。因此，代码更容易被破坏，并且应该是短暂的，仅用于一次
• OAuth 2规范不要求（只是建议）客户端的重定向endpoint使用安全传输层：

本规范并未强制使用TLS，因为在撰写本文时，要求客户端部署TLS是许多客户端开发人员面临的一个重大障碍。

但令牌endpoint需要TLS，用于获取刷新令牌：

因为对令牌endpoint的请求会导致明文凭证的传输(在HTTP请求和响应中)，所以授权服务器必须要求使用TLS

这使得初始代码不安全，并且应该尽快或在检测到多次使用时使其无效。要获得令牌，您仍然需要客户端密码，但是刷新令牌更安全，并且可以重复使用。