重复OAuth 2访问令牌请求的预期行为

Question

我正在为应用程序实施OAuth 2，在重复成功的令牌请求时，我无法在specification中找到预期的行为。

我的问题是：

重复成功请求时

• 它应该像以前一样返回相同的Bearer令牌吗？
• 还是应该返回一个新令牌并使以前的令牌无效？
• 还是应该返回另一个旁边存在的新令牌？所以你用两个令牌授权。

我看到twitter implementation返回相同的令牌，但这是根据规范吗？

Answer 1

预期的行为是Authorization Server返回一个新的访问令牌。授权服务器可以基于其维护的安全策略使先前的访问令牌无效，但不要求它。访问令牌应该是短暂的，并且只有旧的访问令牌过期或即将到期时才应该请求新的访问令牌。除此之外：持票人令牌的格式可能是这样的（例如一个独立的JWT）甚至不能被撤销。