OAuth2服務器如何發佈expierd令牌？

我不明白，什麼必須OAuth2 server做過期的令牌？例如client已經過期接入令牌，並且開始auth code，password或client credetials准許流，auth服務器檢查請求以及一個（刪除過期，併發出新的訪問令牌，如refresh流？）OAuth2服務器如何發佈expierd令牌？

來源

2015-12-24 andrey.ladniy

一個「的OAuth2服務器」可能意味着不同的事情。它可能是一個消耗令牌的「資源服務器」，或者是頒發令牌的「授權服務器」。記住這些可以完全分開。

資源服務器應使用過期令牌應該做什麼？它當然應該拒絕它，並向客戶端發送錯誤響應。請參閱section 7 of the OAuth2 spec。

如果你的意思應該授權服務器「做」使用已過期的令牌，然後我猜你指的是令牌存儲？這些都不是由OAuth2規範定義的。有可能服務器甚至可能不保留令牌的副本（例如，它們可能是有簽名的JWT）。通常不需要保留過期令牌，並且當客戶端啓動新流程以獲取新令牌時會發生什麼情況沒有指定的連接。當發佈新令牌時，對於該客戶端和資源所有者而言，現有的未到期的令牌可能會失效。

來源

2015-12-24 22:30:04

謝謝。您正確理解「授權服務器」的含義。我沒有在規範中找到它，所以我可以在每個授權流程上發佈新令牌，並忘記所有過期的載體令牌？我不能過期未過期的令牌，因爲'資源所有者'可以在不同的平臺/瀏覽器上使用'客戶端'。 –

是的，你可以忘記過期的令牌。不確定您的過期令牌和用戶/資源所有者的含義。您提到的任何流程都不會受到他們使用的平臺或瀏覽器的影響。訪問令牌僅由作爲單獨應用程序的客戶端使用。如果授權服務器存儲令牌，則它可以在令牌選擇時過期令牌，並且如果資源服務器有某種方式使用授權服務器檢查令牌（規範中未定義，但通常情況下），則它會知道令牌已過期。 –

OAuth2服務器如何發佈expierd令牌？

回答

相關問題