OAuth2刷新令牌实用程序
我理解客户机应用程序使用refresh_token（连同它的凭据）为最终用户（资源所有者）获取新的访问令牌，而不是存储最终用户的用户名/密码，并在每次access_token过期时发送它们。
然而，在我看来，这听起来像refresh_token和access_token一样好，它几乎只是一个额外的服务器调用，所以为什么不直接使用它，即如果refresh token是有效的授予访问权限呢？
共有1个答案
然而，在我看来，这听起来像refresh_token和access_token一样好，它几乎只是一个额外的服务器调用，所以为什么不直接使用它，即如果refresh token是有效的授予访问权限呢？
因为对授权服务器的额外服务器调用对于确保仍然允许访问客户端应用程序非常重要。如果不与授权服务器通话，资源服务器将无法验证刷新令牌是否仍然有效。但这不是资源服务器关心的问题。
有效的访问令牌是承载令牌。直接在资源服务器上使用它来获取数据--不问任何问题。如果它没有过期，并且它有正确的范围-这是数据，不管你是谁！
另一方面，刷新令牌必须与客户端凭据一起呈现给授权服务器。授权服务器可以选择验证资源所有者没有撤销对该客户端的访问，或者客户端应用程序本身仍然有效。如果可以，授权服务器可以创造一个新的，短期的承载访问令牌，它对任何拥有它的人来说都像数据一样好！
-
请求你分享你的想法。 提前道谢。
-
我对oauth2中的刷新令牌有点困惑。如它所说的访问令牌限制了黑客可以使用用户凭证的1小时的时间窗口，刷新令牌是万岁令牌，可以用来重新创建访问令牌。 我很困惑，如果有人从cookie中窃取了访问令牌，他也可以窃取刷新令牌，并可以使用刷新令牌创建新的访问令牌，因为我在JQuery中有ajax请求（客户端）
-
我正在实现一个支持刷新令牌的OAuth2服务器，但是，有一些东西我不能完全理解。 当用户通过请求新的访问令牌，并且他/她请求的范围小于原始访问令牌的范围（5个范围中的3个）时。刷新令牌应该具有原始作用域还是刷新令牌应该具有请求的新作用域？ > 如果刷新令牌请求了新的作用域，这是否意味着如果它们继续请求较小的作用域，它们最终将耗尽作用域？ 刷新令牌是否应保留原始作用域？这意味着返回的访问令牌对于刷新
-
我以前在一个OAuth2应用程序中工作过，其中的逻辑是在旧的访问令牌过期后通过刷新令牌生成新的访问令牌。 如果访问令牌在30分钟后过期，然后您只需要传入刷新令牌（但没有重新生成），那么刷新令牌的意义是什么？
-
是否可以将oauth1 3LO访问令牌和机密迁移到oauth2刷新令牌？ 1）{“错误”：“unauthorized_client”} 从云控制台使用有效的client_id和client_secret。看起来client_secret是错误的，但我们重新检查并使用了不同的应用程序--同样的问题。 2）我们有一个测试web oauth2应用程序，错误为：{“error”：“disabled_cli
-
application.yml：