为什么访问令牌不再有到期时间？

Question

我正在尝试在我的应用程序中使用 Jwt 实现 Oauth2。我有一个疑问是为什么我需要更短的到期时间到access_token 而更长的到期时间到refresh_token。

我的意思是我可以拥有一个有效期更长的access_token，我会保护access_token，就像我保护refresh_token一样，不需要refresh_token。这有意义吗？

那么，如果我从我的应用程序中忽略 refresh_token，我会面临任何可用性问题或安全问题吗？

Answer 1

见RFC 6749:

1.5。刷新令牌

刷新令牌是用于获取访问令牌的凭据。刷新 令牌由授权服务器颁发给客户端，并且是 用于在当前访问令牌时获取新的访问令牌 失效或过期，或获取额外的访问令牌 具有相同或更窄的范围（访问令牌可能具有更短的 生命周期和少于资源授权的权限 所有者）。颁发刷新令牌是可选的，由 授权服务器。如果授权服务器发出刷新 令牌，它包含在发布访问令牌时（即步骤 (D) 图 1)。

刷新令牌是一个字符串，表示授予的权限 资源所有者的客户端。该字符串通常是不透明的 客户端。令牌表示用于检索 授权信息。与访问令牌不同，刷新令牌是 仅用于授权服务器，从不发送 到资源服务器。