具有长到期时间的oauth2刷新令牌
具有长到期时间的OAuth2刷新令牌是一种用于访问令牌管理的授权机制。OAuth2是一种开放标准的授权协议，用于授权第三方应用程序访问用户资源，而刷新令牌是OAuth2中的一种特殊类型的令牌。
刷新令牌的作用是在访问令牌过期后，通过向授权服务器发送刷新令牌来获取新的访问令牌，而无需用户重新进行授权。具有长到期时间的刷新令牌意味着刷新令牌的有效期较长，可以在一定时间内多次使用。
优势：
- 延长用户无需重新授权的时间：由于刷新令牌的有效期较长，用户可以在一段时间内持续使用第三方应用程序而无需频繁进行授权操作，提高用户体验。
- 提高安全性：长到期时间的刷新令牌可以减少刷新令牌的频繁传输，降低了令牌泄露的风险。
- 减少对授权服务器的请求：由于刷新令牌的有效期较长，第三方应用程序可以在一段时间内多次使用刷新令牌获取新的访问令牌，减少了对授权服务器的请求次数，提高了性能。
应用场景：
- 移动应用程序：在移动应用程序中，用户可能长时间使用应用而不愿频繁进行授权操作，使用具有长到期时间的刷新令牌可以提供更好的用户体验。
- 长期运行的后台任务：某些后台任务可能需要长时间运行，使用具有长到期时间的刷新令牌可以确保任务在令牌过期后继续访问受保护的资源。
腾讯云相关产品和产品介绍链接地址：
腾讯云提供了多个与OAuth2相关的产品和服务，包括身份认证服务、API网关等，但具体是否支持具有长到期时间的刷新令牌需要进一步查询腾讯云文档或联系腾讯云客服获取最新信息。以下是腾讯云身份认证服务的产品介绍链接地址供参考：
- 腾讯云身份认证服务：https://cloud.tencent.com/product/cam
相关·内容
我在我的应用程序中使用Google，oauth2刷新令牌在1小时后到期。我正在使用这个刷新令牌来执行一个每天运行的任务。我使用OAuth2操场创建刷新令牌。是否有办法延长刷新令牌的过期时间？(1个月)
浏览 0提问于2018-10-01得票数 6
回答已采纳
我刚刚将我们的Box代码升级到OAuth2。
我们已经实现了允许用户在我们的web服务器和他们的Box (以及SkyDrive、Dropbox、Google )帐户之间传输文件的代码。用户的访问和刷新令牌存储在我们的数据库服务器中。
根据，它表示每个刷新令牌的有效期为60天。
SkyDrive和驱动器都使用OAuth2，并且没有刷新令牌到期。是否可能有未过期的刷新令牌？
有些应用程序可能不需要刷新令牌，所以您会考虑引入新的OAuth2作用域吗？
box.read
box.read_write
box.offline_access
浏览 1提问于2013-01-05得票数 5
我正在使用以下过程刷新linkedin oauth2访问令牌
在浏览器中启动oauth过程后，将按照所述跳过该对话框，并发出一个新代码，然后我将使用该代码来获取新的、不同的access_token。但是，expires_in字段(离到期还有几秒钟)比前一个access_token中的字段要小，它实际上引用了相同的到期日期。
这意味着有效地没有延长到期日期，这是刷新访问令牌的目的。
刷新访问令牌是否会延长过期时间？
或者我在这里遗漏了什么？(也许过期日期只能在使用了一定时间后才能延长？)
浏览 2提问于2015-04-22得票数 0
我正在使用Gooogledrive和php.Using，我从凭证中检索了刷新令牌，在3600 seconds.My后到期，问题是如何从这个刷新令牌中获得新的seconds.My，我使用了Google客户机库中给出的方法。
$client = new apiClient();
$client->setClientId('my-client-id');
$client->setClientSecret('my client-secret-key');
$client->setRedirectUri('my redirect uri'
浏览 5提问于2012-08-29得票数 2
在OAuth2中，如果我选择抢占刷新访问令牌，旧的访问令牌是否在原始到期日期之前保持有效？或者，它会被更早地擦除，并被新的替换吗？
浏览 17提问于2017-03-17得票数 1
回答已采纳
2回答
我们公司正在开发一个移动应用程序(iOS)，它需要与我们的API对话，该应用程序由OpenIdConnect/OAuth2使用进行保护。
我的问题是，我这些天使用的大多数应用程序都要求用户登录/注册一次，然后就再也不会了。
假设他们使用OAuth2令牌访问API，他们是如何实现这一点的？
OAuth通过“刷新”令牌支持offline_access，这允许在用户再次登录的情况下获取新令牌。但是，它们也有到期期限--因此，考虑到以下情况：
用户创建帐户，获取访问令牌/刷新令牌。访问令牌在1小时内过期，刷新令牌在2小时内到期。
用户正在使用该应用程序，应用程序在后台获得新的访问/刷新令牌。
浏览 2提问于2016-01-10得票数 3
回答已采纳
在ADFS 4.0中，如果不传递授权请求流(再次向用户请求凭据)，就不能对刷新令牌进行转换，并且不能撤销。
为了避免每次刷新令牌到期时用户输入用户名/密码，我不得不为刷新令牌留出一年的生命周期。
，如果恶意用户在1年的到期时间内窃取此刷新令牌，风险有多大？
浏览 0提问于2018-10-18得票数 0
我将AD FS 2016配置为使用带有PKCE的授权代码授予通过OAuth2/OpenID连接来支持“本机应用程序”的身份验证。我创建了一个依赖方，并通过以下设置配置了令牌生存期(用于测试)：
Set-AdfsRelyingPartyTrust -TargetName MyRPT -IssueOAuthRefreshTokensTo AllDevices -TokenLifetime 3
Grant-AdfsApplicationPermission -ClientRoleIdentifier MyClient -ServerRoleIdentifier MyRPT -ScopeNames
浏览 0提问于2021-09-21得票数 3
回答已采纳
我们正在尝试使用下面的powershell cmdlet将访问令牌到期时间配置为8小时，但它没有在应用程序上强制执行。当在org上应用时，它可以工作。级别(即-IsOrganizationDefault $true)。
New-AzureADPolicy -Definition @('{"TokenLifetimePolicy":{"Version":1,"AccessTokenLifetime":"08:00:00"}}') -DisplayName $policyName -IsOrganizationDefa
浏览 13提问于2020-09-25得票数 0
Keycloak刷新令牌到期与SSO超时相关联。如果SSO会话空闲设置为30分钟，则刷新令牌将只工作30分钟。Session Idle只能与Session Max一样大，因此两者中最低的作为最大刷新令牌寿命。如何单独指定访问令牌的刷新令牌到期时间？如果刷新令牌过期，我们需要获得另一个刷新令牌吗？理想的刷新令牌到期时间？
浏览 1提问于2018-12-19得票数 5
根据的说法，讨论现在已经开始了。
不管我读多少书，我都搞不懂谷歌OAuth2令牌是怎么工作的。阅读文档和许多其他地方表明，refresh_token不会过期，并且在access_token过期后使用。请参阅上的官方文档
然而，在实践中，似乎如Paul ()所描述的那样，当访问令牌到期时，刷新令牌到期。
谷歌工程师能否确认正确的行为应该是什么，因为这似乎是行为和文档不匹配的情况。
它还会使刷新令牌变得无用。
浏览 1提问于2013-05-16得票数 5
回答已采纳
在OpenID连接中，访问令牌有一个过期时间。对于授权代码流，这通常是短的(例如20分钟)，然后使用刷新令牌请求一个新的访问令牌。
ID令牌也有一个过期时间。我的问题是，这样做的目的是什么？
任何ID令牌的过期时间少于刷新令牌的过期时间，都意味着您最终将拥有一个过期的ID令牌，但它是一个有效的访问令牌。
所以你是想：
让您的ID令牌比刷新令牌过期时间更长，或
将其设置为与访问令牌相同的到期时间，并采取一些操作(什么？)当它到期时，或
只需在收到后在客户端使用ID令牌，然后忽略之后的过期时间？
只是说在验证ID令牌时，
"The current time MUST b
浏览 7提问于2014-09-05得票数 113
回答已采纳
我使用端点/OAuth2/令牌(通过HTTP POST)从Azure Active请求身份验证承载令牌。在AAD中，一切都是很好的设置，以便注册使用此流检索此令牌的web客户端。使用了一个client_id和client_secret (共享对称密钥)，我成功地获得了包含auth jwt承载令牌的json响应。
我想了解的是，我们如何配置令牌的过期时间超过1小时的到期时间，这似乎是我通过这个POST请求获得的令牌。我在Azure AD经典门户中生成的共享密钥的有效期为2年。但是，返回的令牌已过期1小时。
基于此，我假设该流程的工作方式(至少就AAD而言)是，我们的web客户端需要安排自己在1小
浏览 13提问于2017-02-03得票数 3
回答已采纳
1回答
我试图在我的应用程序中使用Jwt实现Oauth2。我有一个疑问，那就是为什么我需要更短的access_token到期时间和更长的refresh_token到期时间。
我的意思是，我可以有一个更长的到期时间的access_token，我会保护access_token，就像我在保护refresh_token一样，没有必要只使用refresh_token。这有意义吗？
因此，如果我忽略了应用程序中的refresh_token，我会面临任何可用性问题或安全问题吗？
浏览 0提问于2019-01-04得票数 0
回答已采纳
我使用的是Web Api 2项目附带的oAuth2 OWIN中间件。
我不想颁发14天后到期的令牌，而是如果API请求的访问令牌将在10分钟内到期，我会颁发20分钟令牌，并将到期时间再延长20分钟。
无论是发布新的access_token，还是延长过期时间，我都不介意。
浏览 2提问于2013-12-18得票数 0
这是一个纯粹的理论性问题。我正在工作的角度前端部分，这是与Spring服务相关的。授权过程是通过OAuth2进行的，它使用Keycloack服务器。
我已经在我的应用程序中实现了这个部分，它要求从Keycloak获得一个访问令牌，我也尝试在邮递员中获得它。一切正常工作。现在，我在Postman中看到了访问令牌，一个expires_in值(这两者都很清楚)，但也接收了一个refresh_token、一个refresh_expires_in和一个session_state。这最后3个数值对我来说不是很清楚。我在试着理解这些。所以，直到现在，如果我正确地理解了：
1)我的角度前端将用户凭据发送到Au
浏览 5提问于2020-02-12得票数 0
回答已采纳
描述了单页应用程序如何在不使用刷新令牌的情况下保持用户使用OAuth2登录(因为SPA无法可靠地保持刷新令牌的机密性)。一个关键点是，当用户的访问令牌到期时，它将从授权服务器获得另一个令牌，授权服务器将维护会话。
这就引出了授权服务器如何识别SPA客户端的问题。链接的问题意味着它总是通过一个非基于OAuth2的系统，例如cookie。是这样吗？
浏览 0提问于2019-04-01得票数 4
1回答
有没有人可以告诉我通过OAuth2生成刷新令牌的过期时间。实际上，它通常返回两个参数访问令牌和刷新令牌。我们使用刷新令牌，以便在访问令牌过期时生成新的访问令牌。但是Google Calendar API，我正在使用刷新标记来调用日历Version3。但是在这里我遇到了令牌过期的问题。因此，任何人可以建议我，我可以做什么时，令牌得到到期。根据我的说法，刷新令牌没有过期时间。请检查以下使用刷新令牌创建日历服务的代码:-
private CalendarService CreateService(string token)
{
KeyValuePair<string,
浏览 0提问于2013-09-10得票数 1
1回答
我正在尝试使用OAuth2获取Google OAuth2用户的数据，并且我已经跟踪了所有的文档，即。
我成功地获得了所有预期的响应，但问题是，由于访问令牌在1小时后到期，所以刷新令牌在访问令牌中过期，而且我无法从刷新令牌发出另一个访问令牌请求，因为它也过期了。
在一行中，刷新令牌在1小时后过期，用户需要再次登录。这是主要问题.
public TokenResponse refreshAccessToken(String refreshToken) throws IOException {
TokenResponse response = new GoogleRefreshTokenR
浏览 3提问于2021-05-09得票数 0
我正在尝试在OAuth2规范中查找与授权授权期限相关的任何内容。有提到访问令牌到期，需要刷新/更新，但我没有看到任何关于Grant的内容。我的印象是，如果需要终止或撤销授权授权，这将是必须添加到身份验证服务器的东西，而实际上不在OAuth2框架的范围内。
我的理解是正确的，还是我忽略了什么？这是一个有效的用例吗？
浏览 6提问于2017-05-09得票数 1
我正在实现一个oAuth2身份验证，以保护我的REST。
在实现oAuth2时，我需要生成一个access_token，它将给我对REST数据的临时访问。为此，我只需发送一个带有id和secret的HTTP请求，返回一个access_token和一个refresh_token。这是我第一次实现oAuth2，我对access_token和refresh_token是什么做了一些研究。
看起来每个人都说必须安全地存储refresh_token，因为它允许您重新生成access_token。据我所知，刷新令牌的寿命很长，而acces令牌的过期时间很短，不需要像刷新令牌那样安全，因为它很快就过期了
浏览 0提问于2018-05-04得票数 1
回答已采纳
我们正在使用security和OAuth2在java中构建一个OAuth2 web应用程序。
一切都如期而至，我开始了解访问和刷新令牌的基本知识，但是仍然有一些不清楚的地方，通过浏览互联网，我更加被不同的观点弄糊涂了。
我们现在的实现方式是：
在spring安全性中，一次只能为给定用户提供一个有效的刷新令牌。刷新令牌的有效期为300秒(5分钟)。每次我们为用户请求新的刷新令牌时，都会返回相同的刷新令牌，但不重置有效时间。
这样，每302秒就会在后台询问一个新的刷新令牌，并且这个刷新令牌用于请求放置在其余调用的授权头中的访问令牌。
这在大多数情况下都是正常的，但是如果请求在300到302秒内执行
浏览 1提问于2014-12-22得票数 0
我正在构建一个(一组) web应用程序；后端有类似REST的API，前端将是一些REST JS应用程序，android应用程序等；我正在尝试想出一个SSO功能。
看看Oauth2/OIDC，似乎最好的方法是使用隐式流；然而，隐式流中的访问令牌(在oidc中)有一组过期时间。刷新令牌不是隐式流的一部分。
如何确保用户保持登录状态？即，当访问令牌到期时，前端应用程序将尝试从认证服务器获得新的令牌；这应该要求用户名/密码。或者，它可以构建一个与前端的会话(使用cookie)，但这与刷新令牌有什么不同？
在我看来，获得访问令牌，例如从android应用程序获得访问令牌，至少意味着打开web浏览器；根据
浏览 0提问于2016-12-31得票数 0
在同步我的帐户后，我使用了oauth2包Config.Exchange函数来获取令牌。但是，第一次同步时，它会返回从同步时间起7天的令牌到期时间。对于下一个令牌交换，它返回的过期时间为24小时。我想设定一个更长的期限。
然后我查看了oauth2包文档，发现了以下内容：，但无法了解Golang代码中要处理的过程。
有什么想法吗？请建议一下。
浏览 1提问于2022-03-02得票数 0
我的团队正在为我们客户的移动应用程序实现或者更确切地配置B2C登录。我们完成了配置设置，用户可以登录应用程序一次，并且令牌被缓存在MSAL中。下一次，用户可以直接登录而无需输入他/她的凭据。我们遵循描述的模式
我们的代码首先尝试使用AcquireTokenSilent检索令牌，如果令牌不存在于MSAL缓存中，则使用AcquireTokenInteractive检索它。
我试图了解如何刷新ID和访问令牌，并在MS docs 中找到关于令牌的内容，如下所示
刷新令牌用于在OAuth 2.0流中获取新的ID令牌和访问令牌。它们为您的应用程序提供代表用户的长期资源访问权限，而不需要与这些用户进行交互
浏览 2提问于2021-05-18得票数 1
我正在尝试弄清楚在OAuth2标准中是否存在刷新令牌的最大建议过期时间。理想情况下，我希望找到具体的建议，考虑到安全交互的性质或任何相关的风险(例如个人数据)。
背景- OAuth2标准提供了一种使用刷新令牌来获得新的访问令牌的机制。访问令牌应具有“短”到期时间，而刷新令牌应具有“长”到期时间。
在线上有许多关于不同应用程序()的访问和刷新令牌过期持续时间的示例，但这些示例都没有特别强大的理由或明确的理由来说明特定的长度。
这适用于数据安全至关重要的医疗保健应用程序。我们希望使用较长的刷新令牌长度(90天)，但我还没有找到帮助我理解使用这种持续时间的风险的指南。
我从：开始工作
浏览 20提问于2019-10-25得票数 0
我使用带有Oauth2实现的Jhipster和mongodb作为数据库。Jhipster有自己的Tokenstore实现，用于管理访问和刷新令牌。
我将令牌过期时间设置为30秒，只是为了测试，我观察到的是，如果我在30秒后调用刷新令牌api，它将返回错误：
{ "error"："server_error"，"error_description"：“给定实体不能为空！”}
这里的问题可能是什么？刷新令牌是否也在30秒后过期？
浏览 0提问于2015-09-03得票数 0
如果应用程序从已过期的OneLogin会话获得访问或刷新令牌，如果这些令牌尚未过期，应用程序是否可以继续使用这些令牌直到它们过期，或者是否需要用户身份验证才能创建新的OneLogin会话？
到目前为止，我还没有找到任何描述这种行为的oauth2文档，但从我所发现的情况来看，令牌到期与IDP会话完全不同。
浏览 4提问于2022-01-20得票数 0
我有一个客户端应用程序，它使用带有授权授予类型的资源所有者密码凭据的oauth2。当用户提供凭证时，我编写curl http请求来获取访问令牌，但是当第一个访问令牌过期时如何请求另一个访问令牌。我读到估计访问令牌的有效性是很好的。，但我认为它不会解决我在新访问令牌到期后请求新访问令牌的问题，甚至在刷新令牌过期时也不会解决问题。
谁能给我指出正确的方向，如何实现这一点，或为此使用一个图书馆？
浏览 6提问于2016-06-08得票数 0
回答已采纳
我在Keycloak中阅读了许多该方法的示例，但没有对下面的方法进行明确的解释。
updateToken(minValidity: number): KeycloakPromise<boolean, boolean>;
注意:我使用的是"keycloak-js": "^15.0.2"
这是它的文档
/**
* If the token expires within `minValidity` seconds, the token is refreshed.
* If the session status i
浏览 4提问于2022-10-26得票数 1
回答已采纳
1回答
我已经使用Force.com工具包为.NET很长时间。最近，一个客户端开始抱怨会话无效问题。因此，我开始挖掘，发现我必须通过调用TokenRefreshAsync来刷新令牌，为此我需要传递在身份验证期间获得的刷新令牌。但是我正在从SF获得空刷新令牌。
我已经尝试了我在互联网上发现的一切可能的东西，但都没有成功。在任何时候代表您执行请求(refresh_token，offline_access)是在OAuth Scopes中添加的：
刷新令牌到期时间设置为2天：
这是我用于身份验证的简单代码：
var task = authClient.UsernamePasswordAsy
浏览 0提问于2019-05-22得票数 0
回答已采纳
1回答
继续回答以下问题：
让我以不同的方式提出这个问题-在什么情况下，刷新令牌可以至少存活1年？即我们需要刷新令牌在不少于1年的时间内到期。
这个是可能的吗？可能会出现什么特殊情况？(购买特殊账号)或刷新令牌在您的系统中的最大使用期限是多少？我们使用授权码授权。
浏览 0提问于2017-04-07得票数 0
这个的文档中，写着Refresh tokens have a longer lifetime than access tokens, and you can use them to get new access and refresh tokens.。刷新令牌到期的确切时间(以秒计)。
提前谢谢。
浏览 3提问于2016-06-24得票数 1
我有一个建立在oAuth2上的网络应用程序，已经在5+上生产了很多年了。用户使用Google进行身份验证和授权，并授予我的应用程序访问Google数据的权限。
突然间，当刷新我的用户oAuth2令牌时，我看到了大量的失败。这是呼叫：
传递这些参数: client_id=xxyyzz client_secret=xxyyzz grant_type=refresh_token refresh_token=xxyyzz
这似乎是在不那么活跃的帐户上(即，在我们代表他们进行调用的情况下，这可能是15+天)。我必须联系他们，让他们的"ReAuthorize“对抗谷歌，以使事情顺利进行。
1)谷歌
浏览 1提问于2016-11-08得票数 2
回答已采纳
1回答
我现在使用Openiddict框架设置我的身份验证服务器，在配置部分我看到了：
刷新令牌滚动的目的是什么？到目前为止，我所理解的是，由于这个“滚动”，我的14天令牌到期时间被设置为30秒，我不知道为什么我需要两个版本的到期时间来刷新令牌。
浏览 0提问于2021-04-12得票数 1
1回答
我试图使用gmail smtp使用oauth 2.0。我使用aspose.dll来使用授权url请求访问令牌。我没有得到刷新令牌，当我得到response.so时，如果以前的访问令牌过期，就无法请求新的访问令牌。所以我想每次我的应用程序需要的时候都能得到访问令牌。如果授权代码过期，那么我就不能遵循这种方法。
gmail oauth2的授权代码是否到期？？
浏览 3提问于2013-05-03得票数 6
回答已采纳
我花了几个星期左右的时间浏览了.Net核心文档和教程，现在我正在构建我的第一个.Net核心web应用。因此，这个应用程序基本上是根据搜索参数从在线API中提取数据。没什么了不起的。现在，我的问题出在OAuth2中，API用来限制对其数据的访问。这是我第一次接触OAuth2，也是第一次使用远程API，所以你可能会想，我在过去几天里花了几天时间浏览OAuth文档，了解API的使用情况。我用来获取数据的API是Amadeus API，授予我的访问令牌的持续时间是30分钟。因此，经过几天的努力，并尝试通过各种不同的方式更新我的访问令牌，我认为Amadeus甚至不提供刷新令牌，我应该基本上使用Clien
浏览 4提问于2019-06-22得票数 0
1回答
是否需要在数据库中持久化刷新标记
、、、、
我正在使用资源所有者密码流，我成功地获得了访问令牌和刷新令牌，并且我没有在数据库中保留任何令牌，一切都在本地正常工作。但是当我在生产环境中部署identity server时，刷新令牌并不能像预期的那样工作。我设置了访问令牌过期时间20分钟和刷新令牌过期时间7天。
如果我在20分钟内或访问令牌到期前刷新访问令牌，则刷新令牌刷新访问令牌并按预期工作，但在访问令牌到期后刷新令牌未刷新访问令牌并抛出invalid_grant错误。
由于我没有在数据库中保存刷新令牌，我在谷歌上搜索，但答案是混乱的。
所以有人能告诉我：
当刷新令牌在本地正常工作时，我是否需要存储刷新令牌而不存储？如果有任何实现参考，我
浏览 3提问于2018-10-27得票数 0
1回答
假设我有一个web应用程序，我使用以下流程实现了Refresh令牌&访问令牌JWTs身份验证系统。
将用户名和密码发送给endpoint.Endpoint的用户登录将创建一个过期时间为1个月的刷新令牌，并将哈希刷新令牌存储在与用户ID相对应的Db中。Endpoint创建的JWT访问令牌的过期时间为15分钟，该令牌由服务器密钥签名并编码用户ID。终结点使用Refresh响应，访问令牌具有到期时间到localStorage中的刷新令牌和内存中的访问令牌。<代码>H 214<//。code>User访问需要授权的REST端点，方法是在headers.Endpoint中
浏览 5提问于2022-05-24得票数 2
因此，im通过oAuth2访问令牌访问一些数据，我希望捕捉访问令牌的过期。当它到期时，我捕获错误代码并刷新令牌。之后，我递归地调用该函数。如果刷新令牌由于某种原因不能工作，它将无限循环。在第一次尝试之后，我如何跳出这个循环？
function companyList($page){
//send http-request
if($obj['errors']['status'] == '401'){
Authentication::refreshToken();
companyList($page);
浏览 1提问于2019-10-04得票数 0
回答已采纳
4回答
为什么访问令牌过期？
、、、
我刚刚开始使用Google API和OAuth2。当客户端授权我的应用程序时，我会得到一个“刷新令牌”和一个短暂的“访问令牌”。现在，每次访问令牌过期时，我可以将我的刷新令牌发布到Google，他们会给我一个新的访问令牌。
我的问题是访问令牌过期的目的是什么？为什么不能只有一个持久的访问令牌而不是刷新令牌呢？
另外，刷新令牌是否过期？
有关Google OAuth2工作流的更多信息，请参阅。
浏览 3提问于2011-08-12得票数 212
回答已采纳
有两种获取访问令牌的方法。
使用授权代码来交换
使用刷新令牌刷新它
好好想想！！
虽然交换和刷新这两个词是不同的，但它们所做的是一样的。
这两个操作都需要解析客户端id &客户端机密(或签名)和令牌。
我们只需在系统中保存授权代码，并再次使用auth代码刷新访问令牌，就像刷新令牌一样。
只是授权代码过期太快了。
因此，我想知道为什么oauth2的设计者设计了这两个概念，而不是仅仅使用一个概念，或者说只是设计授权代码并给它一个很长的过期时间。
浏览 9提问于2013-07-15得票数 5
我正在开发一个与我的IOS应用程序一起使用的应用程序接口，我很好奇在oAuth2中使用刷新令牌的最佳实践。我使用用户密码授权来生成访问令牌和刷新令牌。
如果令牌每隔60分钟过期一次，则意味着每隔60分钟，客户端将不得不进行3次连续的API调用: 1.使用访问令牌从API获取资源，2. api以无效令牌响应，因此我们需要使用刷新令牌，3.现在令牌已刷新，我们需要再次尝试初始调用。
那么，我想知道的是，最好是在令牌到期前刷新令牌？或者，在API以过期令牌错误响应后，生成新的访问令牌更好？
浏览 0提问于2015-06-04得票数 3
1回答
何时将访问令牌与刷新令牌交换
、、、、
我知道使用OAuth2的流程是： 在短暂的访问令牌到期(服务器返回401)之后，客户端必须使用刷新令牌请求一个新的令牌。 要在iOS (带AFNetworking)或安卓(带Volley)应用程序中实现它，我想网络管理器必须能够检测返回的401错误，然后向认证服务器发送请求。 问题在于网络的并发使用。考虑访问过期的场景，应用程序发送两个请求: req1和100ms后的req2。在时间线上绘制，这看起来像： req1 --> 401 --> (refresh req) --> OK, new access and fresh tokens --> retry req1
浏览 22提问于2019-01-15得票数 0
对不起，如果之前有人问过这个问题，但是我花了一整天的时间在谷歌上搜索，没有任何结果。
我正在为我的工作构建一个Chrome扩展(与Google交互)，我正在使用Chrome，并且我希望持久化用户的登录，但是使用这个API刷新令牌是找不到的。
我首先实现了chrome.identity.getAuthToken()，我能够授权对gSheets API的请求，当访问令牌过期时，问题就出现了。我知道，如果您使用getAuthToken()调用令牌，则会再次刷新令牌，但只有当您登录的与弹出窗口的初始交互中具有相同的电子邮件时，才会刷新令牌，而这并不是我想要的结果，因为我在浏览器中登录了我的个人电子邮件
浏览 2提问于2018-07-14得票数 7
回答已采纳
1回答
我正在使用Ory作为OAuth2服务器。有一个设置自定义过期时间的配置，但它是静态的，用于我创建的所有令牌。
我希望能够在为客户端创建令牌(每个令牌的到期时间)或至少在创建客户端时设置令牌的过期时间(因此，我将能够对不同的客户端使用不同的过期时间)。有可能吗？
浏览 12提问于2022-05-16得票数 2
我已经使用"signInWithCustomToken()“对防火墙用户进行身份验证。
此标记将在1小时内过期。
防火墙建议标记到期时间为1小时。如果我们在使用"php-jwt“库创建自定义令牌时修改到期时间，则firebase会抛出”自定义令牌格式不正确。请检查文档“。
在寻找解决方案时，我发现了以下线程-- "“
但是"onTokenRefresh()“返回的刷新令牌对我不起作用。
刷新此自定义令牌的过程是什么？
或
是否有方法将手动过期设置为自定义令牌？
浏览 5提问于2016-07-13得票数 18
背景：I使用Spring通过InboundChannelAdaper (IMAP)轮询3个邮箱(outlook365)。我为此定义了3个适配器。我也在使用延迟器组件。到目前为止，投票正在运行fine。
问题：微软将很快禁用basic身份验证，因此我需要修改此电子邮件轮询代码以使用oAuth2授权。Oauth2 accessToken在一段时间后到期。我需要保持定期刷新accessToken。
解决方案尝试：通过IntegrationFlowContext使用，注册和删除 InboundChannelAdapers (即。当我得到新的/刷新的IntegrationFlow时，整个accessTo
浏览 10提问于2022-09-07得票数 1
由于Kubernetes被配置为指向外部OpendID提供程序，通过浏览代码，Kubernetes似乎可以调用OpendID提供程序来获取刷新令牌。它预计会有一个id_token返回。看起来Kubernetes尊重承载令牌的到期时间，并且在承载令牌到期之前不向OpendID提供商发出呼叫。
这是对刷新令牌在Kubernetes中工作方式的正确描述吗？
浏览 3提问于2016-11-18得票数 1
1回答
我目前正试图将auth实现到我的API中，并且对刷新令牌的概念感到困惑。我知道它们是用来在新的访问令牌到期时生成的，但是我不确定它们要携带什么有效负载，以及它们如何存储在DB中。
有几个源使用与访问令牌相同的有效负载(即userId)实现了刷新令牌。另一些则实现了会话系统，通过该系统对会话对象进行序列化并在验证时进行检查。
我主要的困惑是刷新令牌的验证和无效。刷新令牌是否意味着与用户一起存储在DB中，以便您可以检查它是否有效(而不是被重用)？如果是，应该在生成新的刷新令牌时从DB中删除它吗？如果是这样的话，如何允许跨多个客户端进行多个会话？在DB中存储所有过去的刷新令牌或会话对象似乎是浪费的，
浏览 13提问于2022-09-20得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
