一个“刷新令牌”的用途是什么？
当我通过YouTube认证时，它给了我一个刷新令牌。然后，我大约每小时使用这个刷新令牌获取一个新的访问令牌。如果我有刷新令牌，我总是可以使用它来获得一个新的访问令牌，因为它永远不会过期。所以我看不出这样做比从一开始就给我一个访问令牌，而不麻烦整个刷新令牌系统更安全。
共有1个答案
基本上，刷新令牌用于获取新的访问令牌。
为了明确区分这两个令牌并避免混淆，下面是OAuth2.0授权框架中给出的它们的功能：
- 访问令牌由授权服务器经资源所有者批准后颁发给第三方客户端。客户端使用访问令牌访问资源服务器承载的受保护资源。
- 刷新令牌是用于获取访问令牌的凭据。刷新令牌由授权服务器颁发给客户端，用于在当前访问令牌无效或过期时获取新的访问令牌，或获取范围相同或更窄的其他访问令牌。
-
null
-
我有一个与YouTube直播API集成的程序。它运行在计时器上，所以我相对容易编程，每50分钟用一个刷新令牌获取一个新的访问令牌。我的问题是，为什么？ 当我使用 YouTube 进行身份验证时，它给了我一个刷新令牌。然后，我使用此刷新令牌大约每小时获取一次新的访问令牌。如果我有刷新令牌，我可以随时使用它来获取新的访问令牌，因为它永远不会过期。因此，我认为这比从一开始就给我一个访问令牌而不打扰整个刷
-
我在自己的Web API上使用Oauth2,在Web应用程序上使用ASP.NET C#来使用该API。在我的web应用程序上，我正在进行HttpWebRequests。当我的访问令牌过期时，我调用一个方法“refreshToken”，该方法发出请求以获取新的访问令牌。这工作很好，没有问题...除了我得到的响应包含一个新的刷新令牌？？？我在等新的访问令牌。我甚至认为在没有再次传递凭据的情况下这是不可
-
刷新令牌有什么用处？按照我的理解，当访问令牌过期时使用刷新令牌，发送刷新令牌生成另一个刷新令牌和另一个访问令牌。这是因为如果访问令牌由于其持续时间短而被劫持，恶意用户实际上什么都不能做，但如果具有较长持续时间的刷新令牌被劫持，则用户将无法再受到保护。那么刷新令牌应该存储在哪里，这样才不会被人劫持呢？或者在后端应该采取哪些安全措施？
-
我已经读了几天了，我有两个问题 1）如果我将访问令牌存储在localstorage中，并将刷新令牌存储在HttpOnly cookie中，我是否需要担心XSRF？如果攻击者欺骗发出请求，那么好的用户会收到响应。如果它请求新的acces令牌和刷新令牌，攻击者不会窃取响应的内容，这并不坏。这是真的吗？
-
授权服务器可以给Web应用客户端和本机应用程序客户端颁发刷新令牌。 刷新令牌在传输和储存时必须保持机密性，并只与授权服务器和刷新令牌被颁发的客户端共享。授权服务器必须维护刷新令牌和它被颁发给的客户端之间的绑定。刷新令牌必须只能使用带有RFC2818定义的服务器身份验证的1.6所述的TLS 传输。 授权服务器必须验证刷新令牌和客户端身份之间的绑定，无论客户端身份是否能被验证。当无法进行客户端身份验证
-
刷新令牌是用于获取访问令牌的凭据。刷新令牌由授权服务器颁发给客户端，用于在当前访问令牌失效或过期时，获取一个新的访问令牌，或者获得相等或更窄范围的额外的访问令牌（访问令牌可能具有比资源所有者所授权的更短的生命周期和更少的权限）。颁发刷新令牌是可选的，由授权服务器决定。如果授权服务器颁发刷新令牌，在颁发访问令牌时它被包含在内（即图1中的步骤D）。 刷新令牌是一个代表由资源所有者给客户端许可的授权的字