了解Laravel Passport刷新令牌
我正在努力了解如何使用带有电子邮件和密码的Laravel Passport。
我知道我不该储存client_id
还阅读了如何使用带有密码授权令牌的Laravel Passport？但对于我来说，如何以及是否有可能刷新令牌并没有明确的答案。
谢谢你的帮助！
共有1个答案
https://www.oauth.com/oauth2-servers/access-tokens/refreshing-access-tokens/
通常，刷新令牌仅用于机密客户端。但是，由于可以在没有客户机密码的情况下使用授权码流，因此刷新授权也可以由没有密码的客户机使用。如果向客户机颁发了机密，则客户机必须对此请求进行身份验证。通常，该服务将允许额外的请求参数client_id和client_secret，或者在HTTP基本auth头中接受client id和secret。如果客户端没有密码，则此请求中将不存在客户端身份验证。
这意味着对于不应存储凭据的客户端应用程序，刷新令牌可能不是正确的选择。
-
我以前在一个OAuth2应用程序中工作过，其中的逻辑是在旧的访问令牌过期后通过刷新令牌生成新的访问令牌。 如果访问令牌在30分钟后过期，然后您只需要传入刷新令牌（但没有重新生成），那么刷新令牌的意义是什么？
-
基于这篇文章和这个问题，刷新令牌应该是长寿命的，访问令牌应该是短寿命的。我将存储我的刷新令牌超过或等于60天，我的访问令牌20分钟或更多/更少，但永远不会超过一个小时。 我在理解这些令牌的使用时的主要难点是两个令牌的存储方法。我明白，我应该将刷新令牌存储为，使其无法通过脚本访问（XSS攻击），并将访问令牌存储在本地，或，以便在API调用中作为密钥使用。这样做是正确的方法吗？我是否应该按照本文中的建
-
授权服务器可以给Web应用客户端和本机应用程序客户端颁发刷新令牌。 刷新令牌在传输和储存时必须保持机密性，并只与授权服务器和刷新令牌被颁发的客户端共享。授权服务器必须维护刷新令牌和它被颁发给的客户端之间的绑定。刷新令牌必须只能使用带有RFC2818定义的服务器身份验证的1.6所述的TLS 传输。 授权服务器必须验证刷新令牌和客户端身份之间的绑定，无论客户端身份是否能被验证。当无法进行客户端身份验证
-
刷新令牌是用于获取访问令牌的凭据。刷新令牌由授权服务器颁发给客户端，用于在当前访问令牌失效或过期时，获取一个新的访问令牌，或者获得相等或更窄范围的额外的访问令牌（访问令牌可能具有比资源所有者所授权的更短的生命周期和更少的权限）。颁发刷新令牌是可选的，由授权服务器决定。如果授权服务器颁发刷新令牌，在颁发访问令牌时它被包含在内（即图1中的步骤D）。 刷新令牌是一个代表由资源所有者给客户端许可的授权的字
-
我对oauth2中的刷新令牌有点困惑。如它所说的访问令牌限制了黑客可以使用用户凭证的1小时的时间窗口，刷新令牌是万岁令牌，可以用来重新创建访问令牌。 我很困惑，如果有人从cookie中窃取了访问令牌，他也可以窃取刷新令牌，并可以使用刷新令牌创建新的访问令牌，因为我在JQuery中有ajax请求（客户端）
-
我在自己的Web API上使用Oauth2,在Web应用程序上使用ASP.NET C#来使用该API。在我的web应用程序上，我正在进行HttpWebRequests。当我的访问令牌过期时，我调用一个方法“refreshToken”，该方法发出请求以获取新的访问令牌。这工作很好，没有问题...除了我得到的响应包含一个新的刷新令牌？？？我在等新的访问令牌。我甚至认为在没有再次传递凭据的情况下这是不可