【发布时间】：2016-08-22 14:39:58
【问题描述】：
在阅读了Google OAuth2文档后，我下载了application_default_credentials.json并用它来获取访问令牌（不记名令牌）。
我不确定这是否是 OAuth2 的标准。一些文档显示我们需要刷新令牌和客户端凭据来获取访问令牌，但为什么不直接刷新令牌呢？如果我有客户凭证，是否意味着我可以直接获得访问令牌？
【问题讨论】：
标签： token google-oauth
【发布时间】：2016-08-22 14:39:58
【问题描述】：
是的，您必须将客户端凭据与刷新令牌一起发送，这是 OAuth2 规范的一部分。来自RFC 6749, section 6：
因为刷新令牌通常是用于请求额外访问令牌的长期凭证，所以刷新令牌绑定到它所发给的客户端。如果客户端类型是机密的或客户端获得了客户端凭据（或分配了其他身份验证要求），则客户端必须通过授权服务器进行身份验证。
【讨论】：
-
感谢@Kevin，它为我节省了很多时间！