的OAuth2通授权给另一客户端

Question

当实现的OAuth2协议，是有可能通过授权到第二客户端，类似于代理验证在CAS？

用户与客户端的网站，它已获得授权访问用户的帐户认证，即可以访问（通过令牌或其他）到另一个客户端。那可能吗？我需要让用户单独授权吗？我可以将刷新令牌传递给小程序吗？

Answer 1

从一个OAuth舞蹈返回的访问令牌有时被称为“承载令牌”，这掩盖了，不管是谁或什么都有它被认为是身份验证和授权访问资源的事实。例如，您可以使用JavaScript流获取访问令牌，并将其传递给服务器以发出请求。或相反亦然。访问令牌是的访问权限。所以这样，访问便携。但访问令牌通常会在一段时间后过期。

，另一方面不会过期刷新令牌，但一般依赖于一个回调URL。交换访问令牌的刷新令牌通常需要将回调请求发送到列入白名单的URL集。所以你通常不能有效地传递一个刷新令牌。 （注：这并不意味着你不应该要小心了，它仍然基本上是一个范围的密码，你肯定想保持私营）。