Oauth2断言授权:为什么没有刷新令牌？

Question

我正在研究Oauth2，以允许开发人员授权其应用程序的用户使用我的服务。我发现一些消息来源说，当用户发送断言(在我的例子中是JWT)时，我的授权服务器应该返回访问令牌，但它不应该返回刷新令牌。我想知道返回刷新令牌有什么坏处。开发人员可以通过调用一个Api来使刷新/访问令牌无效，该Api使从特定JWT的id授予的任何访问权限无效。

Answer 1

这个建议是不正确的。刷新令牌是可选的，可以在客户端提供授权授权后由授权服务器自行决定颁发。请参阅Oauth2 specification

1.5刷新令牌刷新令牌是用于获取访问令牌的凭据。刷新令牌由授权服务器颁发给客户端，用于在当前访问令牌变为无效或过期时获得新的访问令牌，或者用于获得具有相同或更窄范围的附加访问令牌(访问令牌可能具有比资源所有者授权的更短的生存期和更少的权限)。根据授权服务器的判断，发出刷新令牌是可选的。如果授权服务器发出刷新令牌，则在发出访问令牌(即，图1中的步骤(D) )时包括刷新令牌。