爲什麼我需要刷新令牌的refreh訪問令牌

我正在通過Asp.net Web API和OWIN實現oauth自動登錄。我的問題是;爲什麼我需要刷新令牌來刷新訪問令牌？我想我可以檢測訪問令牌是否已過期，然後我可以刷新它，而無需任何憑據檢查，然後我可以將新訪問令牌返回給客戶端。那麼爲什麼需要刷新令牌？另一個主題是爲什麼刷新令牌更安全，然後訪問令牌？兩者都有相同的服務器響應。爲什麼我需要刷新令牌的refreh訪問令牌

來源

2016-09-10 ilhan

聽起來好像你在問兩個不同的問題 - 什麼是刷新令牌，刷新令牌的安全性。請將它們分成兩個問題。 – neverendingqs

你能提供更多細節嗎？您是否實施了OAuth 2.0客戶端？誰在託管資源/授權服務器？您是在談論客戶端憑證檢查還是用戶憑證檢查？ – neverendingqs

其實我想知道什麼是刷新令牌的目的，或者爲什麼我需要它？我認爲，當訪問令牌過期時，我可以刷新訪問令牌而不使用刷新令牌。例如，讓我們說我們有一個過期的訪問令牌，當我注意到這種情況時，我可以生成一個新的訪問令牌。我不需要刷新令牌或任何東西。 – ilhan

刷新令牌不需要再次通過任何授權流程，這需要（大部分是無論如何）與資源所有者的交互。允許客戶端隨時獲得訪問令牌，而不涉及資源所有者。

如需進一步閱讀和示例，請查看Google的offline access。

來源

2016-09-12 18:38:03 neverendingqs

爲什麼我需要刷新令牌的refreh訪問令牌

回答

相關問題