令牌的生存期

Question

oauth是否建議或要求請求/訪問令牌具有特定的最小/最大生命週期？如果不是，那麼如何知道這些令牌是否實際上是安全的？

謝謝

Answer 1

對於OAuth 2版本，強烈建議使用訪問令牌過期。

在the spec訪問令牌響應，它說：

expires_in：

推薦。訪問令牌的生存時間（秒）。例如，對於 示例，值「3600」表示訪問令牌將從生成響應時起的一小時內過期。 如果省略，授權服務器應該通過其他方式提供 到期時間或記錄默認值。