OAuth2使用授权代码刷新令牌的目的

Question

我想我获得了使用授权代码授予类型的OAuth2流。资源所有者登录到服务器，然后使用授权代码重定向到客户端。然后客户端使用授权代码向授权服务器查询访问令牌和刷新令牌。这就是我困惑的地方。

当访问令牌过期时，客户端应该使用授权码还是刷新令牌来获取新的访问令牌？如果您有授权代码，为什么要使用刷新令牌？

注：我并不是在找一个回答说“刷新令牌是可选的”，因为我正在为amazon-alexa编写这个服务器，这是一个需要刷新令牌和授权代码授予类型的服务。

Answer 1

如果oauth2服务器是根据authoriaztion codes的安全指南RFC 6749第10.5节编写的，则无法重用它来获得第二个access_token。

授权代码必须是短期和一次性使用的。如果授权服务器观察到多次尝试将授权代码交换为访问令牌，则授权服务器应尝试撤销所有已基于妥协的授权代码授予的访问令牌。

如果授予refresh_token，则可以使用refresh_token权限将refresh_token交换为另一个access_token和新的refresh_token。在这种情况下，如果refresh_token仍然有效，则用户不必重新进行身份验证。