舊的OAuth 2.0刷新令牌是否會被撤銷

Question

原則上，在密碼授權驗證後發出新的刷新令牌時，是否應撤銷現有的OAuth 2.0刷新令牌（對於給定的客戶端/用戶組合）？

我找不到任何特定的規範。爲後續的密碼登錄重新發布相同的刷新令牌是否合法？

Answer 1

的OAuth Spec section-6規定：

授權服務器可發出一個新的刷新令牌，在這種情況下 客戶端必須摒棄舊的刷新令牌，並與 新的刷新令牌替換它。在向客戶端發佈新刷新令牌後，授權服務器可以撤銷舊的 刷新令牌。如果發佈了一個 新刷新令牌，則刷新令牌範圍務必爲 ，與客戶端在 請求中包含的刷新令牌的相同。

---

所以沒有要求你必須發出新的刷新令牌和撤銷舊的，然而，對於access_tokens到期這將是發行新的一個好主意，同樣的道理。受損的refresh_token只有在後續刷新時纔有效。這將允許開發人員在應用程序泄漏時撤銷刷新令牌。