如何防止刷新被盗的访问令牌

Question

场景是：您有一个有效期较长的刷新令牌和一个有效期限较短的访问令牌。

设置：有一个客户端、应用程序服务器和身份验证服务器。

• 客户端存储访问令牌。
• 应用程序服务器存储刷新令牌。
• 身份验证服务器分发刷新访问令牌。

其中一个优点是被盗的访问令牌只能在其有效的时间内使用。

假设黑客窃取了有效期为30分钟的访问令牌。当黑客在30分钟后用有效但过期的被盗访问令牌发出请求时，应用服务器用刷新令牌刷新它，从而黑客获得新的有效且未过期的访问令牌。

如何防止这种情况？

Answer 1

没有办法阻止黑客刷新令牌，除非

> < li>

原始用户重设了密码，认证服务器删除了所有以前的刷新令牌。

缩短刷新令牌的有效时间，使其更接近访问令牌的有效性。

在这两种情况下，我们都依赖于使刷新令牌无效。

Answer 2

应用程序服务器不应具有刷新令牌。

在OAuth2.0中，客户端应该存储刷新令牌。

要使用刷新令牌创建新的访问令牌，< code >客户端应向授权服务器提交刷新令牌(以及客户端id和密码)。