在Oauth2.0中刷新令牌

Question

我正在发出一个OAuth 2.0请求，它将返回给我JSON与refresh_token and access_token，为什么OAuth2.0中有2个？

• 哪一个是短命的？
• 两者的用途是什么？

我read this question上SO但didn'e帮了我很多，在这方面的任何帮助将不胜感激 感谢

Answer 1

的access token是你将用什么来验证您的服务请求。它通常包含有关用户的详细信息，或者直接映射到有关用户的权限以及他已授予的权限。
这些令牌寿命很短 - 类似于一小时，实际持续时间因供应商而异。

另一方面，refresh tokens用于在您已过期的令牌获取新的访问令牌时使用。他们有更长的时间（有时是无限的，直到明确撤销）的一生。

现在，让我们考虑一个端到端场景。比方说，你创建一个应用程序，并代表用户的Facebook的行动 - 在他们的时间表后等

• 您的应用程序将用户重定向到登录到Facebook - 你使用Facebook SDK这一点。
• 当用户成功登录并为您提供所需的权限（在时间轴上发布）时，您将获得访问令牌和刷新令牌。
• 您的应用程序现在可以点击Facebook API以代表他的用户时间轴发布访问令牌。此令牌可用于一个小时（或访问令牌有效的任何时间）
• 一旦令牌即将过期，您可以点击Facebook API刷新访问令牌，因为此令牌即将到期。所以，你用refresh + access tokens调用API。
• API会为您返回一个新的访问令牌 - 您可以立即使用它，直到它过期。

PS - 这实际上并不是这种情况。这只是一个随机的例子来解释刷新和访问令牌的不同之处。

如果这是有道理的，回到你已经链接的问题。它有一些非常好的答案。 :)