我有两个客户端，一个是普通最终用户通过我们的网页或本地应用程序登录使用的公共客户端，另一个是我们的管理系统的机密客户端。两者都发出两个 JWT，一个访问令牌和一个刷新令牌。
公共客户不允许发布管理员权限。 Access Token 寿命短，Refresh Token 寿命无限。
机密客户可以发布管理范围。 Access Token 的生命周期很短，而 Refresh Token 的生命周期是 24 小时。
是否可以在刷新令牌过期后使用 Spring Security 及其 oAuth2 实现来降级管理员用户？也就是说，一旦用户登录 24 小时，用户并没有完全注销，但在下一次登录时，他会获得两个新的 JWT，一个用于常规用户访问的访问令牌和一个用于该访问级别的匹配刷新令牌。我想我正在 Spring Security 框架中寻找某种钩子，它允许我以自定义方式处理令牌过期。
【问题讨论】：
标签： spring-security oauth-2.0 jwt spring-security-oauth2
关于你的问题有一句话让我有点困惑，但我想详细说明其他方面，所以这不适合评论。
...用户并未完全退出，但在下次登录时他获得了两个新的 JWT，一个用于常规用户访问的访问令牌和一个用于该访问级别的匹配刷新令牌。
下次登录到底是什么意思？我的困惑是，如果目标不是注销用户，那么 不会 进行下一次登录。我想这可能意味着在刷新令牌到期的几乎结束时，您会想要执行降级请求并使用仍然有效的刷新令牌来获得一对具有较少权限的新令牌。
根据 OAuth 规范，您可以执行刷新令牌请求并要求服务器提供范围小于您当前拥有的访问令牌的访问令牌。但是，它还规定，如果返回新的刷新令牌，则该令牌需要与请求中包含的刷新令牌具有完全相同的范围。
就个人而言，对于这种情况，我会考虑而不是降级令牌，只需确保为了执行任何与管理员相关的操作，用户必须是管理员并且在过去 24 小时内实际提供了他的凭据。您可以通过跟踪给定用户实际执行登录的日期和时间（通过提供他们的凭据）然后根据该值授权管理员操作来完成此操作。这样，您可以增加机密客户端的刷新令牌的生命周期，并且仅在管理员想要执行特权任务并且他们当前的令牌不够新鲜时才强制他们再次登录。
最后，仍然是refresh tokens 的主题（重点是安全注意事项部分）...当您说公共客户端的网络应用程序时，我假设它是基于浏览器的Javascript 应用程序。如果这是正确的，通常不建议对这些应用程序使用刷新令牌，因为刷新令牌通常是长期存在的（在您的情况下，它们似乎永远不会过期）并且浏览器无法确保它们的安全存储。这增加了它们泄漏的可能性，这将使攻击者在令牌的生命周期内访问应用程序。您可能有其他限制因素导致此安全注意事项不适用，但我还是想提请您注意。
【讨论】：