爲什麼Google OAuth2需要客戶端密鑰並刷新令牌才能獲取訪問令牌？

Question

閱讀Google OAuth2文檔後，我下載了application_default_credentials.json並使用它獲取訪問令牌（不記名令牌）。

我不確定這是否是OAuth2的標準。有些文檔顯示我們需要刷新令牌和客戶端憑證來獲取訪問令牌，但爲什麼不只是刷新令牌？如果我有客戶端憑證，是否意味着我可以直接獲取訪問令牌？

Answer 1

是的，它是OAuth2規範的一部分，您必須將客戶端憑據與刷新令牌一起發送。從RFC 6749, section 6：

因爲刷新令牌，一般長效用於請求額外的訪問令牌憑據，刷新令牌綁定到其發放的客戶端。如果客戶端類型是機密的或者客戶端被髮布了客戶端證書（或者被分配了其他認證要求），則客戶端必須向授權服務器進行認證。