OAuth 2.0。服务器如何验证access_tokens

Question

我有两台服务器，比如说A和B。服务器A将认证用户并生成令牌。 现在在服务器B如何检查令牌是否有效？每次都必须通过服务器A检查有效令牌吗？

是否必须将服务器B中的令牌连同过期日期一起保存，并检查服务器B上的验证？

Answer 1

如果它发出的访问令牌（一个授权服务器），并且提供了访问令牌（一资源服务器）受保护的API服务器的服务器是不同的，在一个简单的实现，资源服务器进行通信授权服务器每次验证访问令牌时。

RFC 7662（的OAuth 2.0令牌反思）限定内省端点其中授权服务器提供用于资源服务器内省访问令牌的指定。预计由资源服务器托管的API的实现将调用自检端点来验证由客户端应用程序提供的访问令牌。