JWT 身份验证方案中生成的刷新令牌在哪里？

Question

我正在使用 AngularJS 构建一个与 Laravel PHP 后端通信的 SPA。 Authentication 方法使用 JWT，带有 tymon/jwt-auth PHP 库，在我看来这是一个很棒的库。

当用户发送他的用户名/密码时，服务会发回 JWT，该 JWT 存储在客户端的 localStorage 中。这工作正常。但是，我想使用刷新令牌继续向客户端发出新的 JWT，以便用户在使用应用程序时保持登录状态。这些刷新令牌应该在哪里发行？当用户发送他的用户名/密码时应该发出它们吗？如果是这样，tymon/jwt-auth 库中似乎没有办法将刷新令牌发送到客户端。请帮忙，我在概念化这应该如何工作时遇到了很多麻烦。

Answer 1

当您使用OAuth 2.0 授权服务器进行身份验证时，您是否获得刷新令牌取决于您使用的是哪个OAuth grant。

当您的客户端是 SPA（不受信任的客户端）时，您可能正在使用隐式授权并且该授权不支持刷新令牌。

一些公司已经实现了能够使用隐藏IFRAME 中的请求刷新授权服务器发出的访问令牌的库。我不熟悉您使用的库。

另请参阅this question 了解更多信息。