OAuth Google - 令牌刷新

Question

如果我的手机有错别字，我们深表歉意。我们一直在努力为多家提供商整合一个可靠的集成，除了 Twitter 和他们不存在的电子邮件地址（哦，“再见”唯一密钥）之外，我们还有谷歌，他们的令牌寿命极短。

目前，我们通过在 js 中通过客户端的流程推送用户来执行虚假刷新。

如果没有离线访问 accessType，如何在不通过 oauth 流程推动用户的情况下刷新令牌？因为刷新令牌只对这个 accessType 有效。

如果我错过了一个技巧，请告诉我！所有社交提供者似乎都遵循不同的方法，因为到期似乎没有在任何地方准确指定，所以在某些情况下它是一个 unixtime 时间戳，有些它是相对于现在的秒数的负整数（我猜它必须基于 UTC 或那行不通）并且我看到了一些提供到期作为unix时间戳的东西。该死的 OAuth 2 没有 RFC 吗？？

感谢任何见解。谢谢。

更新

对不够清晰表示歉意。一切正常，只是 Google 的 OAuth 令牌如此短暂。这不是什么大问题，我们必须用 JS 刷新 Google 的 OAuth 令牌或离线使用“accessType”，这并不理想。

Answer 1

您没有在问题中说明您的应用正在使用的特定 OAuth 流程，因此很难提供可靠的答案。

我想到了两种方法：-

1. 如果您正在执行客户端 JavaScript 身份验证，则可以将 immediate=true 设置为“刷新”在没有任何用户 UI 的情况下完成。

2. 您可以执行离线操作来赢得刷新令牌。您可以将其存储在服务器上并根据需要使用它来生成访问令牌。