使用刷新令牌在访问令牌过期之前刷新它

Question

我正在开发一个使用 OAuth - 基于令牌的身份验证的应用程序。

考虑到我们有访问和刷新令牌，这就是流程的样子。

1. API 调用 -> 拦截器附加访问令牌 -> api 返回 200
2. API 调用 -> 拦截器附加过期的访问令牌 -> api 返回 401 -> 拦截器使用刷新令牌刷新令牌 -> 拦截器重试相同的请求 -> 返回 200
3. API 调用 -> 拦截器附加过期的访问令牌 -> api 返回 401 -> 拦截器使用刷新令牌刷新令牌（刷新令牌 也过期了）->提示客人登录->客人登录-> 重试请求

这一切都很好 - 我正在考虑对其进行一些优化，即我不想调用 api 并等待 401 返回。 而是事先检查令牌是否过期，获取新的访问令牌，然后使用有效令牌调用 API。

这种使用 android 系统时间计算令牌到期的方法可能有效 - 但有时当用户更改 android 时间时可能会被误用。

想知道是否有更好的解决方案来避免基于android系统时间的时间到期问题。

Answer 1

即使您在代码中添加了这样的检查，您仍然需要您在问题中提出的流程（因此捕获 401 并相应地刷新令牌）。这是因为，正如您所注意到的，客户端设备上的时间设置可以更改，或者客户端和服务器之间可能存在轻微的时钟偏差（因此不会故意篡改时间设置）。

仅当您有权访问访问令牌和刷新令牌的到期时间时，在 API 调用之前检查到期的方法才有效。因此，您要么收到该信息以及令牌并将其持久化，要么使用 JWT 并且您可以轻松检查过期。

就个人而言，我不会添加这样的检查，除非有一些强有力的论据（例如，您知道您的应用将主要用于连接速度较慢的远程位置，并且您希望将流量限制在最低限度等。 ）。您提供的流程是一个常见的流程，并且运行良好。