的OAuth2訪問令牌活動會話

Question

期間保持活躍，我們有一個安全的應用程序，它需要一個很短的訪問令牌有效期內（例如，15分鐘）。我們希望訪問令牌在用戶處於活動狀態並進行API調用時保持活動狀態。但是，一旦有15分鐘的不活動，它應該到期。從本質上講，過期時間不應該是固定的，但是從最後一次通話，而15分鐘。

什麼是使用這種模式的良好格局？這可能與OAuth2。

Answer 1

OAuth 2.0用戶沒有指定的訪問令牌如何進行驗證。最多也就是資源服務器（即您的API）和認證服務器之間的協議，使您在您的實現可以自由齒輪它向你描述的情況。

無論你的資源服務器需要跟蹤空閒超時或認證服務器可以做到這一點，資源服務器需要調用出每個使用該授權服務器跟蹤使用情況和活動​​存在。