如何使用服务器刷新身份验证令牌

Question

我正在实施客户端 - 服务器系统。客户端使用用户名和密码登录，并且（最初）服务器使用在几个小时内到期的令牌进行响应，并在需要身份验证的其他服务中使用。

当令牌过期时，我应该如何刷新它？

• 持久保存用户名/密码（加密）并再次调用登录
• 保存某种密码哈希值？
• 还有其他选择吗？

我应该如何将密码发送到服务器？

• 客户端应用散列，服务器只存储它并验证散列（并且永远不知道真实密码）
• 客户端通过安全通道发送原始密码，服务器验证（长度，强度等）并存储哈希值？
• 还有其他选择吗？

Answer 1

查看此链接。 - ＆GT; https://developers.hubspot.com/docs/methods/auth/refresh_token

根据我的理解，当您首次使用密码/用户名登录时，您应该获得一个刷新令牌，您将保存（用于刷新时）以及访问令牌。您经常拨打电话将令牌刷新到服务器，为其提供刷新令牌和访问令牌，它会为您提供新的访问令牌和刷新令牌。

我认为这个想法是，如果有人看到你的一个请求，他们只能冒充一段时间。他们不知道刷新令牌，因此假设他们没有看到您刷新该令牌的请求，那么当您刷新并获得新的访问令牌时，它们将被切断。

我认为通过安全通道发送密码会没问题。

其他任何人都可以在这里纠正我 - 我只是想帮忙。