为什么Google OAuth2需要客户端密钥并刷新令牌才能获取访问令牌？

Question

阅读Google OAuth2文档后，我下载了application_default_credentials.json并使用它获取访问令牌（不记名令牌）。

我不确定这是否是OAuth2的标准。有些文档显示我们需要刷新令牌和客户端凭证来获取访问令牌，但为什么不只是刷新令牌？如果我有客户端凭证，是否意味着我可以直接获取访问令牌？

Answer 1

是的，它是OAuth2规范的一部分，您必须将客户端凭据与刷新令牌一起发送。从RFC 6749, section 6：

因为刷新令牌，一般长效用于请求额外的访问令牌凭据，刷新令牌绑定到其发放的客户端。如果客户端类型是机密的或者客户端被发布了客户端证书（或者被分配了其他认证要求），则客户端必须向授权服务器进行认证。