为什么使用 JWT 刷新令牌

Question

为什么使用 JWT 刷新令牌。 在https://www.oauth.com/oauth2-servers/access-tokens/refreshing-access-tokens/ 要使用我需要发送的刷新令牌

POST / oauth / HTTP / 1.1 token
Host: authorization-server.com
 
grant_type = refresh_token
& refresh_token = xxxxxxxxxxx
& client_id = xxxxxxxxxx
& client_secret = xxxxxxxxxx

使用 refresh_token 有什么意义，因为我可以直接请求访问令牌

POST / HTTP token / 1.1
Host: authorization-server.com
 
grant_type = client_credentials
& client_id = xxxxxxxxxx
& client_secret = xxxxxxxxxx

我要连接的服务需要 client_id 和 client_secret 来刷新令牌。没有这些参数，它返回

{
     "error": "invalid_request",
     "error_description": "The request is missing a required parameter, includes an invalid parameter value, includes a parameter more than once, or is otherwise malformed."
}

附加client_id和client_secret时，返回一个有效的JWT

Answer 1

首先我引用official documentation：

客户端身份验证（如果客户端获得了机密，则需要）： 通常，刷新令牌仅用于机密客户端。但是，由于可以在没有客户端密码的情况下使用授权代码流，因此没有密码的客户端也可以使用刷新授权。如果客户端获得了一个秘密，那么客户端必须验证这个请求。通常，该服务将允许附加请求参数 client_id 和 client_secret，或者接受 HTTP Basic auth 标头中的客户端 ID 和密钥。如果客户端没有密钥，则此请求中将不存在客户端身份验证。

一些应用程序（例如网络应用程序）可以安全地存储客户端的秘密，因此最好在刷新令牌的流程中提供客户端的秘密，但是对于一些不能安全地存储客户端的秘密的应用程序（例如移动应用程序），建议发出一个不需要客户端密码的刷新令牌。

此外，一些授权过程可以在没有客户端密码的情况下完成，因此必须可以在不需要客户端密码的情况下发布刷新令牌。

如果客户端获得了一个秘密，那么它必须为刷新令牌流提供秘密。

不同的服务通常可以选择颁发需要身份验证的刷新令牌和不需要身份验证的刷新令牌。

对于您正在使用的服务，检查它是否可以选择向您颁发不需要客户端密码的刷新令牌。