我应该还是不应该在Laravel Passport中使用具有密码授予授权的刷新令牌？

Question

如果我有一个带有Laravel后端的单页web应用程序，那么我最好的身份验证选择似乎是Passport，它具有密码授权身份验证流。在Passport中，返回一个访问令牌和一个刷新令牌。

为了安全起见，我想发布一个短期访问令牌，并在它过期时刷新它。然而，关于在Javascript应用程序中使用OAuth的所有可用信息都说“不要让前端访问您的刷新令牌”，因为它寿命很长，其他人可以使用它来生成新的访问令牌。

例如：

单页应用程序（通常实现隐式流）不应接收刷新令牌。刷新令牌本质上是允许用户无限期地保持身份验证的用户凭证。这些敏感信息应安全存储，不得暴露在浏览器的客户端。

这是否意味着基于浏览器的SPA不能使用刷新令牌，因此必须仅颁发在合理的“会话”长度后过期的访问令牌，从而迫使用户在之后再次登录？

否则，是否有合适的方法在具有密码授权认证的Laravel Passport应用程序中实现短寿命访问令牌和刷新令牌，同时保持良好的安全性？

Answer 1

存储刷新令牌没有坏处，因为它们可以在访问令牌（如您所提到的短暂）过期后用于获取另一个访问令牌，从而创建良好的用户体验。