我们是否应该等到访问令牌过期才获得刷新令牌?

时间:2019-03-29 07:46:07

标签: oauth-2.0

还是我可以立即提出要求?

在获取第一个刷新令牌后说,我要测试是否可以获取刷新令牌。

刷新令牌也一样吗?每次“刷新”都会改变吗?

1 个答案:

答案 0 :(得分:1)

规范中没有任何内容限制您仅使用刷新令牌来获取新的访问令牌。如果您使用的实现遵循规范,并且没有其他问题,那么您应该可以立即提出要求。

实际上,几乎不需要这样做,因为与授权服务器进行通信和身份验证会花费更多时间。

当您使用刷新令牌获取另一个访问令牌时,它可以更改,也可以保持不变。

该规范指出,如果未返回新的刷新令牌以及新的访问令牌,则假定将使用旧的刷新令牌,因此未更改。

有些人可能只想给一个带有初始访问令牌的刷新令牌,一旦过期,您就需要重新认证并授权最终用户来重新启动该过程。

https://tools.ietf.org/html/rfc6749#section-1.5