Access Token 與 Refresh Token

　　access token 是客戶端訪問資源服務(wù)器的令牌。擁有這個(gè)令牌代表著得到用戶的授權(quán)。然而，這個(gè)授權(quán)應(yīng)該是臨時(shí)的，有一定有效期。這是因?yàn)?#xff0c;access token 在使用的過程中可能會(huì)泄露。給 access token 限定一個(gè)較短的有效期可以降低因 access token 泄露而帶來的風(fēng)險(xiǎn)。

　　然而引入了有效期之后，客戶端使用起來就不那么方便了。每當(dāng) access token 過期，客戶端就必須重新向用戶索要授權(quán)。這樣用戶可能每隔幾天，甚至每天都需要進(jìn)行授權(quán)操作。這是一件非常影響用戶體驗(yàn)的事情。希望有一種方法，可以避免這種情況。

　　于是 Oauth2.0 引入了 refresh token 機(jī)制。refresh token 的作用是用來刷新 access token。鑒權(quán)服務(wù)器提供一個(gè)刷新接口，例如：

　　http://xxx.xxx.com/refresh?refreshtoken=&client_id=

　　傳入 refresh token 和 client_id，鑒權(quán)服務(wù)器驗(yàn)證通過后，返回一個(gè)新的 access token。為了安全，Oauth2.0 引入了兩個(gè)措施：

　　1，Oauth2.0 要求，refresh token 一定是保存在客戶端的服務(wù)器上的，而絕不能存放在狹義的客戶端（例如移動(dòng) app、PC端軟件） 上。調(diào)用 refresh 接口的時(shí)候，一定是從服務(wù)器到服務(wù)器的訪問；

　　2，Oauth2.0 引入了 client_secret 機(jī)制。即每一個(gè) client_id 都對(duì)應(yīng)一個(gè) client_secret。這個(gè) client_secret 會(huì)在客戶端申請(qǐng) client_id 時(shí)，隨 client_id 一起分配給客戶端?？蛻舳吮仨毎?client_secret 妥善保管在服務(wù)器上，決不能泄露。刷新 access token 時(shí)，需要驗(yàn)證這個(gè) client_secret。

　　于是，實(shí)際上的刷新接口應(yīng)該是類似這樣的：

　　http://xxx.xxx.com/refresh?refreshtoken=&client_id=&client_secret=

　　以上就是 refresh token 機(jī)制。refresh token 的有效期非常長(zhǎng)，會(huì)在用戶授權(quán)時(shí)，隨 access token 一起重定向到回調(diào) url，傳遞給客戶端。

轉(zhuǎn)載于:https://www.cnblogs.com/Susie-/p/10683656.html

總結(jié)

以上是生活随笔為你收集整理的Access Token 与 Refresh Token【转载哒科普啊】的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。