何时将刷新令牌传递给API

Question

我正在尝试访问授权服务器，该服务器在用户提供用户名和密码时发出短期访问令牌和长期刷新令牌。

< li >客户端是应该在每次调用API时将刷新令牌与访问令牌一起传递，还是应该仅在从API收到访问令牌已过期的错误代码时才传递刷新令牌？ < li >刷新令牌过期后，什么类型的错误代码会传回客户端？这意味着客户端需要通过再次传递用户名和密码来请求新的访问令牌。

Answer 1

问题1：

客户端应该在每次调用API时将刷新令牌与访问令牌一起传递，还是客户端应该仅在从API收到访问令牌已过期的错误代码后才传递刷新令牌？

在访问令牌到期之前，客户端不需要刷新令牌。每个调用都需要访问令牌，但只有授予新访问令牌的请求才需要刷新令牌。

要获取新的访问令牌，请发送一个请求，将grant_type设置为refresh_Token，如RFC第6节所述
理想情况下，您应该在当前访问令牌过期之前请求新的访问令牌，以免中断服务。

我见过的大多数实现都会为每个访问令牌发布一个新的刷新令牌。您可以使用任何有效的刷新令牌来获取新的访问令牌。

问题2：

刷新令牌过期后，将哪种类型的错误代码传递回客户端？这意味着客户端需要通过再次传递用户名和密码来请求新的访问令牌。

不幸的是，RFC没有明确定义错误响应；参见RFC第7.2节：

如果资源访问请求失败，资源服务器应该通知客户端错误。虽然这种错误响应的细节超出了本规范的范围，但是本文档在第11.4节中为OAuth令牌认证方案之间共享的错误值建立了一个公共注册表。

因此，确切的响应取决于服务器。它应该由有问题的服务器来定义。

如果服务器提供新的刷新令牌，您将希望在当前令牌到期之前获得新的刷新令牌。

您不想再次发送用户的凭据；您不应该拥有它们，更不用说保留它们了。OAuth 2旨在允许第三方访问用户的受保护资源，而无需查看用户的凭据。

您通常会在password_grant或Refresh_Token调用中使用新的访问令牌获得新的刷新令牌。RFC并不保证这一点
如果服务器没有提供新的刷新令牌，或者无法依靠服务器提供新的更新令牌，则必须要求用户重新登录。请注意，此登录是通过授权服务器完成的，它不一定是您的应用程序。事实上，这可能不是。