用访问令牌刷新令牌1：1映射

Question

我已经在这里阅读了关于刷新令牌的解释:https://stackoverflow.com/a/36280559/11634814，我认为它很有意义。简而言之，刷新令牌很有用，因为每次只有一个未过期的访问令牌与每个刷新令牌相关联。如果Bob偷了Alice的refresh令牌，我们可以检测到这一点，因为他会尝试使用它用Alice的令牌发出新的请求，即使Alice的访问令牌没有过期。

当相应的访问令牌未过期时，试图使用刷新令牌发出请求是奇怪的，服务器可以检测到这一点并使刷新令牌无效。我的问题和@Rakib评论中提出的问题非常相似：

这个实现是否意味着您必须存储与单个刷新令牌关联的当前访问令牌？或者有没有一种无国籍的方法来解决这个问题？

谢谢

Answer 1

我使用了来自google和aws的refresh_token，没有任何限制。我的意思是，我能够多次使用refresh_token获得一个新的access_token，时间间隔小于过期时间（google为3600s)。

另外，根据第10.4节的规范、auth0、microsfot和这个refresh_token没有无尽的生命周期，相反，它可能会过期或失效。

因此，仅仅考虑到存在未过期的access_token，就将refresh_token标记为无效或可疑，这将使您失去一个有用的特性。

JSON Web令牌(JWT)被称为无状态，因为授权服务器不需要维护任何状态；令牌本身就是验证令牌持有者授权所需的全部。

No state简单地说是指在服务器（在您的例子中是授权服务器）中不存在与主实体或事件（在您的例子中是令牌）相关的一种活动会话。更简单地说，您可以重新启动服务器，并且不会丢失任何东西，以前生成的令牌将继续工作

因此，如果您关心的是refresh_token被盗或access_token生成的某些滥用，您应该在授权服务器中实现一个逻辑。

最后，最著名的授权服务器或IAM(auth0、okta、keycloak、google、aws、microsoft等）继续提供无状态身份验证，而不考虑大量功能(access_token/refresh_token生成、令牌吊销、用户管理等）以及在后台工作的所需复杂软件组件和策略。