【发布时间】：2019-02-18 20:19:03
【问题描述】：
我需要一个令牌（或密钥）在 API 请求中用作不记名令牌。 这个想法是为用户设置一次，无需登录即可访问资源。 我尝试使用 access_token ，但最长过期时间为 1 天。 所以，我需要一个令牌： - 到期时间>30 天 - 可以唯一标识用户 - 包含身份验证数据，如角色和组 知道如何使用 OKTA 完成吗？
【问题讨论】：
【发布时间】：2019-02-18 20:19:03
【问题描述】：
如果您将 OAuth 与 Okta 结合使用，则可以使用 refresh_token（可以有更长的到期时间 - 包括无限制）来获取新的 access_token。
因此，您不需要最终用户（资源所有者）交互。但是，当 access_token 过期时，您需要使用 refresh_token 获取一个新的。
【讨论】：
-
感谢您的回复。这是我认为的选项之一。这样做的缺点是客户端应该意识到这一点：客户端应该使用新令牌。就像它不能在后端默默地完成一样。我正在寻找客户在 30 天内不知道到期的解决方案：客户只需使用相同的令牌来访问资源而无需登录提示。
-
只是为了确保我们在同一个页面上，只有一次登录。从那时起，当访问令牌过期时，刷新令牌用于获取新的访问令牌。这种方法的目的是确保您在刷新令牌的生命周期内不需要任何额外的用户交互（例如登录）。