我可以在无人参与的工作流程中使用OAuth2服务吗？

Question

OAuth2的'流程'涉及让用户说'是的，这很好'。返回的令牌是暂时的。

但我试图创建一个无人参与的服务。刷新标记是否总能正常工作？我感觉它也会过期。

Answer 1

Adrian，

这取决于谁在实施OAuth2。在刷新标记的description中，到期不作为规范的一部分进行讨论。该规范后来就state有些含糊去那的invalid_grant值误差的话可以退还：

所提供的授权许可（如授权码，资源 所有者凭证）或刷新令牌无效，过期，撤销， 是否与授权请求中使用的重定向URI不匹配，或 是否已颁发给其他客户端。

这似乎暗示刷新令牌可能会到期。

该文件还提到可以交换“具有长期访问令牌或刷新令牌的凭证”，从而将它们分组到相同的到期类中。

规范的最新版本可以在这里找到：http://tools.ietf.org/html/draft-ietf-oauth-v2

至于Google具体实施

Refresh tokens are valid until the user revokes access. 

刷新令牌的有效期为所有的时间，唯一的例外来当用户撤销该权限。

对于Google OAuth2，用户可以通过web GUI或使用OAuth revoke endpoint撤销权限。