OAuth 2.0。服務器如何驗證access_tokens

Question

我有兩臺服務器，比如說A和B。服務器A將認證用戶並生成令牌。 現在在服務器B如何檢查令牌是否有效？每次都必須通過服務器A檢查有效令牌嗎？

是否必須將服務器B中的令牌連同過期日期一起保存，並檢查服務器B上的驗證？

Answer 1

如果它發出的訪問令牌（一個授權服務器），並且提供了訪問令牌（一資源服務器）受保護的API服務器的服務器是不同的，在一個簡單的實現，資源服務器進行通信授權服務器每次驗證訪問令牌時。

RFC 7662（的OAuth 2.0令牌反思）限定內省端點其中授權服務器提供用於資源服務器內省訪問令牌的指定。預計由資源服務器託管的API的實現將調用自檢端點來驗證由客戶端應用程序提供的訪問令牌。