刷新令牌有什么用处？
刷新令牌有什么用处？按照我的理解，当访问令牌过期时使用刷新令牌，发送刷新令牌生成另一个刷新令牌和另一个访问令牌。这是因为如果访问令牌由于其持续时间短而被劫持，恶意用户实际上什么都不能做，但如果具有较长持续时间的刷新令牌被劫持，则用户将无法再受到保护。那么刷新令牌应该存储在哪里，这样才不会被人劫持呢？或者在后端应该采取哪些安全措施？
共有1个答案
将刷新令牌作为标记为safe和sameSource的httponlycookie发送。它将自动存储在cookies中，并随每个http请求一起发送到服务器。HttpOnlyCookie不能通过JavaScript访问，因此如果您使用https协议，就不能轻易劫持它。
-
本文件规定： Firebase ID令牌是短暂的，只能持续一个小时；刷新令牌可用于检索新的ID令牌。 我是否可以说，刷新令牌本质上同时充当客户端设备的密码和标识，并且拥有刷新令牌意味着能够检索ID令牌，从而能够作为与该刷新令牌关联的用户进行身份验证？ 如果是这样，那么拥有这两个不同的令牌的目的是什么？ 谢谢
-
我有一个与YouTube直播API集成的程序。它运行在计时器上，所以我相对容易编程，每50分钟用一个刷新令牌获取一个新的访问令牌。我的问题是，为什么？ 当我使用 YouTube 进行身份验证时，它给了我一个刷新令牌。然后，我使用此刷新令牌大约每小时获取一次新的访问令牌。如果我有刷新令牌，我可以随时使用它来获取新的访问令牌，因为它永远不会过期。因此，我认为这比从一开始就给我一个访问令牌而不打扰整个刷
-
当我通过YouTube认证时，它给了我一个刷新令牌。然后，我大约每小时使用这个刷新令牌获取一个新的访问令牌。如果我有刷新令牌，我总是可以使用它来获得一个新的访问令牌，因为它永远不会过期。所以我看不出这样做比从一开始就给我一个访问令牌，而不麻烦整个刷新令牌系统更安全。
-
我面临一个问题，以刷新谷歌访问令牌在服务器端。 我从谷歌认证服务器得到的响应只是403状态代码。信息是这样的 仅仅为了刷新访问令牌，在我的服务器上使用SSL是强制性的吗？它已经在我的本地服务器上测试过，没有附加任何SSL到它。
-
授权服务器可以给Web应用客户端和本机应用程序客户端颁发刷新令牌。 刷新令牌在传输和储存时必须保持机密性，并只与授权服务器和刷新令牌被颁发的客户端共享。授权服务器必须维护刷新令牌和它被颁发给的客户端之间的绑定。刷新令牌必须只能使用带有RFC2818定义的服务器身份验证的1.6所述的TLS 传输。 授权服务器必须验证刷新令牌和客户端身份之间的绑定，无论客户端身份是否能被验证。当无法进行客户端身份验证
-
刷新令牌是用于获取访问令牌的凭据。刷新令牌由授权服务器颁发给客户端，用于在当前访问令牌失效或过期时，获取一个新的访问令牌，或者获得相等或更窄范围的额外的访问令牌（访问令牌可能具有比资源所有者所授权的更短的生命周期和更少的权限）。颁发刷新令牌是可选的，由授权服务器决定。如果授权服务器颁发刷新令牌，在颁发访问令牌时它被包含在内（即图1中的步骤D）。 刷新令牌是一个代表由资源所有者给客户端许可的授权的字