【发布时间】：2018-04-17 15:24:37
【问题描述】：
我已经看过了
Why Does OAuth v2 Have Both Access and Refresh Tokens?
https://auth0.com/blog/refresh-tokens-what-are-they-and-when-to-use-them/
据我了解，这就是 OAuth v2 的工作方式：
1) 用户将他的凭据发送到验证它的服务器并返回一个access_token 和一个refresh_token
2) 用户发送此 acsess_token 以及进一步的身份验证请求
3) 当access_token 过期时，用户向服务器发送另一个请求，其中包含refresh_token 和其他必需参数，要求新的access_token 和refresh_token
这是我的问题：
单独的refresh_token 需要什么？为什么不发送旧的access_token（反正即将过期），换一个新的？？
使用refresh_token 的额外优势是什么？
【问题讨论】：
标签： api oauth oauth-2.0 rest-security