如何判断刷新了哪个访问令牌
刷新访问令牌是在进行身份验证和授权的过程中常见的操作，用于更新访问令牌的有效期。刷新访问令牌的过程通常涉及以下几个步骤：
- 获取刷新令牌：在进行身份验证和授权时，通常会同时获取访问令牌和刷新令牌。刷新令牌是用于获取新的访问令牌的凭证。
- 发起刷新请求：当访问令牌即将过期时，客户端可以使用刷新令牌向身份验证服务器发送刷新请求。刷新请求通常包含刷新令牌、客户端ID和客户端密钥等信息。
- 验证刷新令牌：身份验证服务器接收到刷新请求后，会验证刷新令牌的有效性。这包括检查刷新令牌是否过期、是否与客户端ID匹配等。
- 颁发新的访问令牌：如果刷新令牌验证通过，身份验证服务器会颁发一个新的访问令牌给客户端。新的访问令牌通常具有更新的有效期。
- 更新访问令牌：客户端收到新的访问令牌后，可以使用它来进行后续的API请求。同时，客户端还应该更新存储的访问令牌，以便在下次需要刷新时使用。
刷新访问令牌的优势在于可以减少用户频繁输入用户名和密码的次数，提高用户体验。同时，刷新令牌通常具有较长的有效期，可以在一定程度上增加系统的安全性。
刷新访问令牌的应用场景包括但不限于以下几个方面：
- Web应用程序：在Web应用程序中，刷新访问令牌可以用于保持用户的登录状态，避免用户频繁重新登录。
- 移动应用程序：在移动应用程序中，刷新访问令牌可以用于实现长期登录，提供持续的用户体验。
- API访问控制：在API访问控制中，刷新访问令牌可以用于更新API访问的权限和有效期。
腾讯云提供了一系列与身份验证和访问控制相关的产品和服务，包括：
- 腾讯云访问管理（CAM）：CAM是腾讯云提供的身份和访问管理服务，可以帮助用户管理和控制腾讯云资源的访问权限。了解更多信息，请访问：腾讯云访问管理（CAM）
- 腾讯云API网关：API网关是腾讯云提供的一种托管式API服务，可以帮助用户管理和控制API的访问权限和流量。了解更多信息，请访问：腾讯云API网关
- 腾讯云身份认证服务（Tencent Cloud Authentication Service，TCAS）：TCAS是腾讯云提供的一种身份认证服务，可以帮助用户实现用户身份的验证和授权。了解更多信息，请访问：腾讯云身份认证服务（TCAS）
请注意，以上仅是腾讯云提供的一些相关产品和服务，其他云计算品牌商也提供类似的身份验证和访问控制解决方案。
相关·内容
1回答
我在Identity Server 4 auth服务器中创建了一个客户机，并设置了以下令牌属性：
var idsClient = new Client
{
ClientName = parsedResult.Name,
ClientId = parsedResult.ClientId,
RequireConsent = false,
RequirePkce = false,
浏览 0提问于2019-03-08得票数 1
回答已采纳
我正在研究Oauth2，以允许开发人员授权其应用程序的用户使用我的服务。我发现一些消息来源说，当用户发送断言(在我的例子中是JWT)时，我的授权服务器应该返回访问令牌，但它不应该返回刷新令牌。我想知道返回刷新令牌有什么坏处。开发人员可以通过调用一个Api来使刷新/访问令牌无效，该Api使从特定JWT的id授予的任何访问权限无效。
浏览 4提问于2017-02-23得票数 1
我已经读到了一些关于在MEAN stack web应用中使用进行身份验证的文章。我一直在学习教程，但当涉及到刷新令牌时，我就迷惑了。
我确实理解这些令牌是用来在过期后为用户获取新的访问令牌的，正如和任何其他关于这些令牌的OAuth教程中所解释的那样，但我不理解的是，如果用户没有提供任何凭据(它应该只在第一次登录时提供凭据)，服务器如何知道必须使用哪个刷新令牌。
有人能帮助我完全理解它是如何工作的吗？
非常感谢:)
浏览 0提问于2017-05-01得票数 0
OAuth2客户端流程无刷新令牌？
我使用的是android应用程序。用户登录但缺少刷新令牌？
这是否意味着在令牌过期一个小时后，用户需要重新登录？
那么如何让用户保持登录状态呢？
浏览 4提问于2013-08-15得票数 1
1回答
这做了一个Spring应用程序(Rest，JPA等)使用(通过Rest)从一个网站(角)和一个移动应用程序(Android)。
使用移动应用程序的用户(在未来)将能够通过Facebook、Google等进行身份验证，并将从应用程序所需的社交网络获得的一些信息存储在数据库中。
我通过提供用户名和密码(保存在数据库中)和从后端释放访问令牌(JWT)来实现身份验证，这两个前端在每个REST请求时都会使用访问令牌(JWT)到Spring。
现在，我希望用户的移动应用程序不要每次输入用户名和密码，而是为了“永远”而保持登录。
我在互联网上看到，当后端(Spring )返回HTTP错误401时，应用程序可
浏览 0提问于2021-02-24得票数 2
1回答
我正在构建一个OAuth2.0协议。我想知道刷新令牌到底是如何工作的。
我的理解是，使用刷新令牌可以启用短暂的访问令牌，因此限制了这些访问令牌的漏洞。到目前为止还不错。一旦访问令牌过期，您将以某种方式使用刷新令牌来获取新的访问令牌。
我想知道最后一部分是如何发生的(没有通过登录用户流来中断用户流)：
为了确保事务的安全，是否需要将应用程序id和应用程序秘密沿刷新令牌发送，以确保请求者的身份？
如果是这样的话，听起来你似乎不想在客户端(web或移动应用程序或其他)上存储应用程序机密，那么在不注销用户的情况下，如何做到这一点呢？
如果没有，如果不能使用刷新令牌来验证请求者身份，那么刷新令牌的意义是
浏览 0提问于2016-07-14得票数 10
1回答
我慢慢地掌握了使用Microservices进行身份验证的诀窍，但我遇到了一个相当基本的问题。我假设的架构如下：auth微服务、处理注册、登录、令牌刷新和处理用户待办事项的TODOS微服务。
我希望在刷新令牌的同时使用短命的JWT。
如何使用刷新令牌？由于JWT的过期时间太快(几分钟)，我是否向todos提出请求?同时，如果JWT过期，我会发回一个错误(未经授权或JWT过期的特定错误)？然后，我会返回auth服务刷新，然后再以某种方式调用API吗？我是否在客户机上池并定期检查JWT是否已过期？
这些是我的一些问题，但基本上可以归结为
如何处理JWT到期？(在调用API和空闲时)是返回JWT已过
浏览 1提问于2022-04-01得票数 1
回答已采纳
1回答
(例如)刷新令牌:访问令牌:B
用户采集: A，B
如果B过期，请使用A重新发出B
所以如果攻击者偷了A，难道他没有得到B吗？
根据rfc的官方文件，我听说客户有A和B，但我不知道这是否属实。
我不明白使用正确的刷新令牌的机制。
我应该如何确定实现方向？
I登录并完成了刷新令牌和访问令牌。
主要问题:当访问受保护的页面时，当访问令牌过期且存在刷新令牌时，我不知道如何使用它。我不知道被偷的问题是否真的出现了。
浏览 7提问于2022-10-31得票数 1
1回答
在我的应用程序中，我们希望提供与谷歌登录。因此，我浏览了并创建了一个示例，通过将access_type设置为脱机来扩展它。这样我就可以获得刷新令牌，因为它们将是后台任务，在特定时间间隔后对这些帐户执行操作，例如:为每个用户在服务器上的某个文件中保存星号邮件。
所以我需要知道：
如何保存刷新令牌？喜欢用userId或其他方式将它保存在DB中，或者保存整个凭证对象，因为我很少见过使用凭证对象
如何使用刷新令牌来获取资源？
刷新令牌何时过期？
代码引用将非常有用。
谢谢你！！
浏览 3提问于2014-12-12得票数 3
3回答
我引用了另一篇关于如何使用JWT刷新令牌的文章。
我有一个非常常见的架构的应用程序，我的客户端(web和移动)与REST对话，然后与服务层和数据层进行对话。
我理解JWT令牌身份验证，但我对如何使用刷新令牌感到有点困惑。
我希望我的JWT身份验证具有以下属性：
JWT令牌的到期时间为2小时。
客户端每小时刷新一次令牌。
如果用户令牌未刷新(用户处于非活动状态，应用程序未打开)并过期，则他们需要在任何时候重新登录。
我看到很多人声称使用刷新令牌的概念使这成为一种更好的体验，但是，我不认为这有什么好处。这似乎增加了管理它的复杂性。
我的问题如下：
浏览 9提问于2015-08-17得票数 91
假设我拥有'mainAccount@gmail.com‘。现在，我创建了一个应用程序(而不是使用服务帐户)，它使用一次授权来获得刷新令牌。然后将刷新令牌存储在数据库中。
接下来，我允许其他用户(例如匿名访问者)使用我的应用程序将文件上传到我的google驱动器存储空间。每次用户想上传时，存储的刷新令牌都用于获取访问令牌(授权未经身份验证或甚至可能没有gmail帐户的用户的上传)。
我很好奇Drive是如何解释这种请求的？特别是当有数以百计的用户上传文件时。我会不会达到配额限制？我假设API认为1个gmail帐户=1个用户，而不是100个或更多用户。
浏览 1提问于2014-12-09得票数 3
回答已采纳
1回答
来自
刷新令牌的思想是，如果访问令牌被破坏，因为它是短暂的，攻击者有一个有限的窗口来滥用它。
我明白，但是如果攻击者访问刷新令牌，他们将能够获得一个新的令牌，我错了吗？这似乎只是推迟了长时间存在的令牌安全漏洞.
关于这一点，你可以在同样的答案中找到：
如果被破坏，刷新令牌是无用的，因为攻击者除了刷新令牌之外还需要客户端id和机密，以获得访问令牌。
那么使用刷新令牌和简单地退出有什么区别呢？如果您不希望用户再次重新输入它们，那么如何存储客户端id和机密呢？
正如所指出的，刷新令牌只能使用一次:然后攻击者将能够获得一个新的auth令牌，但只能获得一次，以及一个短暂的令牌。但是，如
浏览 0提问于2015-10-02得票数 17
回答已采纳
我的团队正在为我们客户的移动应用程序实现或者更确切地配置B2C登录。我们完成了配置设置，用户可以登录应用程序一次，并且令牌被缓存在MSAL中。下一次，用户可以直接登录而无需输入他/她的凭据。我们遵循描述的模式
我们的代码首先尝试使用AcquireTokenSilent检索令牌，如果令牌不存在于MSAL缓存中，则使用AcquireTokenInteractive检索它。
我试图了解如何刷新ID和访问令牌，并在MS docs 中找到关于令牌的内容，如下所示
刷新令牌用于在OAuth 2.0流中获取新的ID令牌和访问令牌。它们为您的应用程序提供代表用户的长期资源访问权限，而不需要与这些用户进行交互
浏览 2提问于2021-05-18得票数 1
1回答
我正在寻找一个简单的，清楚的解释如何使用刷新令牌。我了解到，一旦访问令牌过期，就会使用刷新令牌来获取新的访问令牌。假设用户经过身份验证，并获得刷新令牌和访问令牌。
问题1:当访问令牌过期时，IdentityServer4 (而不是用户试图访问的api )是否认为用户是“未经身份验证的”？
问题2:假设访问令牌过期，我可以在使用刷新令牌之前等待多久吗？我的意思是，如果访问令牌现在到期了，而且我没有立即访问受保护的API的需求，而这个需求在5个小时后出现，那么我能不能直接拿起刷新令牌并使用它来获得一个新的访问令牌呢？
问题3:如果我想要一个从未过期的访问令牌，该怎么办？比方说，我有一个像faceb
浏览 0提问于2019-08-17得票数 0
回答已采纳
1回答
我目前正试图将auth实现到我的API中，并且对刷新令牌的概念感到困惑。我知道它们是用来在新的访问令牌到期时生成的，但是我不确定它们要携带什么有效负载，以及它们如何存储在DB中。
有几个源使用与访问令牌相同的有效负载(即userId)实现了刷新令牌。另一些则实现了会话系统，通过该系统对会话对象进行序列化并在验证时进行检查。
我主要的困惑是刷新令牌的验证和无效。刷新令牌是否意味着与用户一起存储在DB中，以便您可以检查它是否有效(而不是被重用)？如果是，应该在生成新的刷新令牌时从DB中删除它吗？如果是这样的话，如何允许跨多个客户端进行多个会话？在DB中存储所有过去的刷新令牌或会话对象似乎是浪费的，
浏览 13提问于2022-09-20得票数 0
2回答
我正在使用访问令牌和刷新令牌来设置auth。我在很大程度上是存在的，但我很难理解如何刷新访问令牌。根据我从这里和其他资源中看到的，大多数人似乎都设置了路由处理程序来刷新令牌，如下所示：
@UseGuards(JwtRefreshGuard)
@Get('/refresh')
refresh(@GetUser() user: User) {
return this.authService.getAccessToken(user.username);
我使用一个使用护照策略的自定义守卫来验证刷新令牌：
async validate(request: Request, paylo
浏览 40提问于2022-01-23得票数 0
据我所知，在OAuth中有一个刷新令牌和一个访问令牌。访问令牌不能被撤销，但是使用时间很短，在下一次刷新访问时，如果撤销访问令牌，则将不存在访问令牌。我有一个简单的应用程序，在这个应用程序中，我自己发出标记，并将自己全部消耗在一个应用程序中(包括移动和web，但都是相同的API)，所以我不需要任何复杂的OAuth或OpenIdConnect来进行3d操作。为了简单起见，我只想用一个令牌来使用这个方案，但出于性能方面的考虑，我也想刷新它(而不是检查每个调用的撤销)：
客户端向特定端点提供用户名和密码，并接收签名但未加密的JWT (据我所知，用户可以读取但不能伪造)。在没有Oauth或OpenId
浏览 0提问于2016-01-25得票数 6
回答已采纳
此外，如果他们因为任何原因忘记了注销并回来，使用新的令牌登录，我仍然可以删除访问令牌，并寻找删除oauth_refresh_token的方法。
也许有一种方法可以撤销刷新令牌，这样在注销时，我可以删除所有已撤销的令牌，这将是一种选择？
public function logout()
{
auth()->user()->tokens->each(function ($token, $key) {
$token->delete();
});
return response()->json('Lo
浏览 2提问于2019-07-10得票数 0
7回答
我使用JWT来验证我的应用程序的用户。当用户登录时，会给他们一个访问令牌和一个刷新令牌。为了保持刷新令牌的安全性，我不把它存储在客户端，而是将它保存在后端，并使用他们的帐户，这样就不容易访问了。不过，我对刷新令牌的安全性感到困惑，下面是我在阅读有关如何使用刷新令牌的在线资源时所理解的逻辑：
鉴证
将访问令牌+刷新令牌存储在某处(在我的示例中，前端存储访问令牌，后端存储刷新令牌)
在执行api请求时，验证api端的访问令牌。
如果访问令牌过期，请使用刷新令牌生成新访问令牌+新刷新令牌，将访问令牌发送回客户端。
像以前一样储存代币..。再重复
我担心的安全问题是，如果其
浏览 3提问于2019-04-03得票数 19
回答已采纳
如何使用本机应用程序客户端id通过C#或PowerShell使用刷新令牌重新生成访问令牌？
具有以下输入：
$RefreshToken = "refresh_token"
$ClientId= "client_id"
我发现了许多使用刷新令牌重新生成访问令牌的方法，但所有这些方法都使用web应用程序客户端id和客户端密钥。
浏览 0提问于2017-09-07得票数 4
2回答
我正在使用一个使用OAuth2的应用程序接口，它提供了一个在3600秒后过期的访问令牌，并提供了一个刷新令牌。最初，我一直在等待API调用以指示访问令牌已过期的方式失败，然后尝试使用刷新令牌刷新访问令牌。当访问令牌过期并且同时进行多个API调用时(每个调用分别触发刷新，并且大多数调用都会失败)，这就会出现问题。
在3600秒后使用刷新令牌自动刷新访问令牌是否更好？(或3599秒或3601秒？)我是否应该使用不同的范例来刷新访问令牌？
浏览 7提问于2012-08-28得票数 2
回答已采纳
我从这里读取了文档，它告诉我，当我们刷新access token时，我们传递grant_type和refresh_token参数。刷新refresh token怎么样？同时用refresh_token和grant_type传递这两个参数？我没有找到刷新refresh token标准来说明如何刷新令牌。或者我们根本不应该刷新刷新令牌。让用户再次登录吗？
浏览 4提问于2022-03-05得票数 0
回答已采纳
1回答
我使用laravel作为后端，使用vue作为前端。
当用户想要进行身份验证时，他调用我的laravel api并获得身份验证令牌和刷新令牌。Auth令牌的有效期为2分钟，但刷新令牌的有效期较长。因此，如果我将刷新令牌保存在用户端的某个地方，他可以长时间保持登录状态，但我担心安全性，如果我将刷新令牌保存在本地存储中，它很容易受到攻击。我可以在本地存储中保存身份验证令牌，因为它的寿命很短，即使它被盗了，我也不在乎，但我不知道如何处理刷新令牌。
困难的是，我不想让用户在每次打开应用程序时都输入他/她的凭据。
所以问题是，我可以在哪里保存刷新令牌？身份验证令牌在哪里？
浏览 0提问于2018-12-24得票数 0
我有一个JWTCore2.0 WebApi，它要求对所有请求进行身份验证，并使用如下所示的Asp.Net令牌验证：
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme) .AddJwtBearer(options => { options.Authority = this._configuration.GetVa
浏览 0提问于2017-09-24得票数 0
据我所知，ASOS支持立即刷新令牌。为了获得刷新令牌，我需要在令牌请求中添加offline_access作用域。但它们存放在哪里？如何更改或删除令牌的过期日期？如何确定为哪个用户创建刷新令牌？
浏览 2提问于2016-03-02得票数 4
2回答
我有一些关于实现刷新令牌的问题。我搜了很多遍，但什么也没找到：
我必须使用jwt作为刷新令牌，还是可以是散列字符串？在刷新令牌中使用jwt有什么好处？
刷新令牌是否应该有过期时间？我想使用刷新令牌的remember me功能，所以如果用户返回网站或移动应用程序后，他应该能够继续作为一个登录用户。
我必须将刷新令牌发送到客户端吗？(我们将其存储在数据库中，并在注销时删除)
浏览 0提问于2019-04-09得票数 1
我正在尝试设置Azure Web App以使用Azure AD进行身份验证，并在后台自动刷新ID令牌。一篇很棒的博客文章帮助我理解了整个事情是如何工作的：
链接的这个指南帮助我设置了它：
似乎为Azure AD身份验证启用刷新令牌并不是那么简单，所以正如我推荐的那样，我使用了前面提到的指南来设置它，就好像它是针对GraphApi的一样。
我遇到的问题是，即使在调用".auth/refresh“端点然后调用".auth/me”端点之后，唯一刷新的令牌也是访问令牌。该令牌对我没有任何用处，因为我在与后端服务器通信时使用Id令牌(使用"Authorization header
浏览 20提问于2016-07-17得票数 8
回答已采纳
如果我为我的用户保存了刷新令牌，我就不会有兴趣尝试获取一个新的令牌了。我完全没有防备，因为谷歌只给他们的令牌一个小时的孕育。这意味着刷新令牌几乎是必需的，除非您希望您的用户每小时重新登录一次站点或移动应用程序。
所以现在我有一群没有刷新令牌的用户。谷歌没有为我提供新的approval_prompt=force或prompt=none，以及access_type=offline。
我需要强制Google发送刷新令牌，尽管之前已经发送了一个或多个令牌。一个人如何在没有令牌的情况下撤销刷新令牌？
我不想让每个用户都手动撤销它。这应该是务实的--特别是在移动开发方面。
我想专注于javascript解
浏览 1提问于2013-09-03得票数 3
2回答
我正在实现一个认证系统。该系统目前运行在JWT中，没有刷新令牌。为了让用户保持登录的合理时间，我们决定将令牌的过期时间设置为12小时。我看到建议的到期时间是15分钟。
我的第一个问题是，每个想让用户登录超过15分钟的应用程序是否需要实现一个刷新令牌？如果是这样，那么撤销是唯一的原因吗?还是安全方式(将刷新令牌保存在内存中，而不是在cookie中公开令牌)也是原因之一？
当我寻找刷新令牌优势时，我主要看到人们谈论的是撤销，将安全方式作为刷新令牌的实现细节，而不是优势。但据我所知，这也是刷新令牌的优点之一。
在没有刷新令牌的情况下，我没有找到JWT的过期时间标准。我想知道这是否因为从安全的角度来看
浏览 4提问于2020-07-10得票数 1
Keycloak刷新令牌到期与SSO超时相关联。如果SSO会话空闲设置为30分钟，则刷新令牌将只工作30分钟。Session Idle只能与Session Max一样大，因此两者中最低的作为最大刷新令牌寿命。如何单独指定访问令牌的刷新令牌到期时间？如果刷新令牌过期，我们需要获得另一个刷新令牌吗？理想的刷新令牌到期时间？
浏览 1提问于2018-12-19得票数 5
我正在将Google Calendar集成到我的Android应用程序中。我遵循了上解释的授权和检索访问令牌和刷新令牌的示例。一切都很好，因为文档中对所有内容都进行了很好的解释。但是，我找不到关于如何以编程方式恢复刷新令牌的示例代码。有人知道如何恢复刷新令牌吗？我在用Java编程。
-Ali
浏览 2提问于2012-02-24得票数 2
1回答
我正在开发手机和一个网络应用程序。这两个应用程序都将与节点服务器对话。我使用JWT进行身份验证。
目前，我有以下代码来生成访问令牌：
const token = jwt.sign({ user: body }, "top_secret");
对于刷新令牌和访问令牌，我真的很困惑：
如何创建刷新令牌？
刷新令牌是什么样子的？
我是否可以创建一个刷新令牌-类似于我创建访问令牌的方式？
刷新令牌是否仅用于生成新的访问令牌？
刷新令牌可以用作访问令牌吗？
如何使访问令牌失效？
如何使刷新令牌失效？我见过使用数据库存储刷新令牌的示例。当要使访问令牌无效时，刷新
浏览 3提问于2020-04-04得票数 1
2回答
使用JWT实现了Django REST和身份验证。对于JWT令牌，我们必须在它过期之前对其进行刷新。过期后，JWT将不会提供新的令牌。
对于我的移动设备，我需要每10分钟(JWT_EXPIRATION_DELTA)刷新一次令牌。如果用户没有活动超过10分钟，那么我需要要求登录。有没有什么方法可以在JWT令牌过期后刷新令牌。(我们可以将刷新时间限制为2天)
在Mobile中处理这种行为的最好方法是什么？
谢谢。
浏览 1提问于2017-03-02得票数 7
回答已采纳
假设我有一个谷歌应用程序，用户多次使用OAuth2授权我的应用程序，并且我的应用程序存储了授权生成的所有刷新令牌。我的应用程序可以保留多少有效的刷新令牌？每个刷新令牌生成的访问令牌有多少是有效的？
浏览 0提问于2016-02-22得票数 3
2回答
JWT刷新和访问令牌
、、、
我在我的项目中使用jwt令牌。长寿命刷新令牌，用于对受保护资源的身份验证和短期访问令牌。刷新令牌保存在仅限http的cookie中，以降低xss攻击的风险。访问令牌将只存储在我的前端的vuex存储中。如果用户更改密码，我应该更新刷新令牌吗？我不将刷新令牌存储在数据库中，因为正如我所理解的那样，jwts的主要目的是我可以使用加密技术来验证传入的刷新令牌，而不必在数据库中查找它(然后我就根本不用使用jwts了)。
但是，如何使已经发送的刷新令牌无效(例如在其他设备或浏览器上)？如果我不使用数据库来存储刷新令牌，那么只要过期时间，令牌就会有效。我很感激你的建议。
浏览 3提问于2021-10-29得票数 0
回答已采纳
1回答
如何确保应用程序通过新的访问和刷新令牌获得响应。
我的问题是：
我向服务器发送请求以刷新访问令牌，从而生成一个新的刷新令牌。服务器生成一对新的令牌。向应用程序发送响应，但是由于超时异常或其他连接问题，应用程序从未收到响应。
稍后，用户尝试再次使用应用程序，但是刷新令牌不正确，因为它已经在服务器端更新了。
如何确保从服务器端在应用程序端收到响应？
浏览 1提问于2017-09-13得票数 0
回答已采纳
在现代SAML/OAuth/OIDC方法中，我很难理解刷新令牌流的作用。
我理解身份验证是关于证明用户是他们所说的人，而授权则是证明用户能够访问任何特定的资源。我还理解刷新令牌可以用来处理这两种情况。
我的问题是，刷新/访问令牌流如何适合OAuth2.0和OIDC这样的身份验证/授权方法？它是这些方法的子集，还是它们有时使用的可选技术？或者它们与菠萝和橘子没有关系，就像比较了橘子一样？
当涉及到使用刷新令牌流将身份验证构建到系统中时，它不被视为OAuth或OIDC，除非它是构建为的，对吗？
编辑:更简洁一些-- OAuth似乎是一种“完整”的身份验证方法。刷新令牌流也被认为是与OAuth一起使
浏览 6提问于2022-04-07得票数 0
1回答
我开始使用ASOS (AspNet.Security.OpenIdConnect.Server)框架进行基于令牌的身份验证。
我已经完成了访问令牌的生成和检索，现在将转到刷新令牌位。
我的问题是：
如何存储刷新令牌服务器端？
我是否应该将clientID和散列和咸化刷新令牌存储在数据库中(以及实用工具字段，例如过期日期)？
如果我的API的用户有一个clientID和机密，但同时执行许多调用，那么预期的行为是什么(例如，假设他们希望在多台机器上扩展客户端以获得更好的吞吐量)。
具体来说，我的意思是，如果客户机的访问令牌中有一个过期了，但是它们的刷新令牌也过期了，
浏览 3提问于2016-08-07得票数 4
回答已采纳
更新2015-10-28 - 似乎已经解决了这个问题，新的GIDAuthentication方法getTokensWithHandler:和refreshTokensWithHandler:会根据需要更新idToken和accessToken。GIDSignIn方法SignInSilently还刷新两个标记。
我正在为iOS使用AWS，并且我使用作为基础实现了作为认知凭证提供者的谷歌登录。登录(以及随后的静默登录)流正常工作，登录用户可以按预期访问AWS资源，如DynamoDB。
我的问题是，user.authentication.idToken在一个小时后到期，此时对AWS服务的调用会
浏览 6提问于2015-10-22得票数 5
1回答
我有一个客户端正在使用OAuth2进行单点登录，并使用自己的登录页面。一旦用户登录，它们将被重定向回我正在构建的React。我想找出的是我的应用程序与OAuth2集成的方法，以确保用户是否还在注册。例如，如果用户仍然经过身份验证，我需要一种检查OAuth2的方法来刷新应用程序。
我是否应该使用快速服务器来管理重定向从AUTHORIZATION_CODE返回的OAuth2？据我所知，OAuth2在重定向url中返回一个AUTHORIZATION_CODE和状态。如果是这样的话，我将如何处理这方面的特快？是否有一个管理此过程的快速插件。
或者我可以绕过使用express，只使用Auth0 Reac
浏览 2提问于2022-03-16得票数 1
1回答
我使用OAuth2授权机制对我的移动应用程序访问我的资源服务器。我已经定义了具有其秘密的客户端，命名为mobile_client，并使用授权代码授权获得刷新令牌。我还有一个用户user@app.pl正在两部手机上使用我的应用程序。我注意到偷令牌有问题。
场景如下：
+---------------+
(Phone 1)----------- Refresh Token1----------->| Authorization |
(Phone 1)<--- Access Token1+
浏览 1提问于2018-10-09得票数 1
1回答
什么时候应该刷新？
、、、、
嗨，我有几个关于JWT刷新令牌以及它们是如何工作的问题。我试图在网上进行研究，但一直未能找到以下问题的答案：
什么时候应该刷新令牌？
刷新令牌的正确寿命是什么？
应该将刷新令牌存储在哪里？
谢谢!
浏览 1提问于2018-04-11得票数 2
1回答
刷新令牌-精确的操作顺序？
、、、、
谁能建议使用刷新令牌生成新访问令牌的合适顺序是什么(在我的例子中，是ASP.NET + Identity Server 4和角前端客户端)。我的意思是我可以通过编程实现它--发出访问令牌，使用刷新令牌发出访问令牌，但在实际实现中，我无法考虑整个流程。
例如，-> --我从Http请求头内部的角度客户机发送访问令牌，然后由我的API读取它。我可以检查令牌是否过期，如果它过期了，如何实现整个刷新令牌进程？
在开始时，我认为以下过程：
令牌从Http头的前端发送到API 令牌，如果API中的->过期了，则在API中验证令牌，使用刷新令牌发出新的访问令牌--使用新的访问令牌--递归方法中的
浏览 7提问于2022-10-27得票数 0
2回答
我正在构建一个基于令牌的身份验证(使用带角客户端的Node.js/JWT)。
用户输入他的凭据后，他将获得一个访问令牌，并在报头内部的每个请求中发送该令牌(标头:承载令牌)。
我不想每次当他的访问令牌到期时(我想大概每天)都会提示登录请求，我听说过。刷新令牌永不过期(或很少过期)，并且能够更新访问令牌即将过期的令牌，客户端可以通过发送刷新令牌发送更新请求来获取新的访问令牌。
我不太明白，我可能遗漏了什么：
长寿命/永不过期的刷新令牌如何不会破坏使用短时间访问令牌的安全性。
饼干可以被偷并使用到过期为止。令牌是短暂的，因此它们更安全，但是如果我提供了一个长寿的刷新令牌，我就失去了
浏览 2提问于2014-12-08得票数 6
回答已采纳
3回答
我正在使用VSTS REST API。我按照指示使用刷新令牌来刷新访问令牌。今天早上，刷新令牌停止工作。它们会过期吗？如果访问令牌和刷新令牌都已过期，如何继续？我在这上面找不到任何东西。
参考：
浏览 5提问于2016-10-18得票数 0
1回答
OAUTH2刷新令牌
、、、、
我对OAuth2中的刷新令牌有点困惑。就像上面说的，访问令牌限制了黑客可以使用用户凭证的时间窗口1小时，刷新令牌是长寿令牌，可以用来重新创建访问令牌。
如果有人从cookie中窃取访问令牌，他也可以窃取刷新令牌，并且可以使用刷新令牌创建新的访问令牌，因为我在JQuery (客户端)中有ajax请求，我对此感到困惑。
注意:我已经创建了ajax请求，以便在服务器端发送刷新令牌，我在那里追加了客户机ID和秘密，并使用授予类型刷新令牌。
我在cookie中同时保存了访问令牌和刷新令牌，并使用ajax请求获得新的访问令牌。
jQuery(document).ajaxError(function(eve
浏览 2提问于2016-12-06得票数 1
我正在用Node.js & Mongoose制作一个应用程序，它需要一些身份验证的方式。我第一次想到了简单的会话，但后来遇到了JWT，我读了很多文章，但我仍然不确定是否应该使用它们。我的问题是：
假设有人偷了一个在15分钟内过期的短暂访问令牌，那么刷新令牌不是没有用的，因为15分钟是做something?Where的一段时间&我应该如何存储刷新和访问令牌？我猜客户端内存中的访问和数据库中的刷新令牌？但是，如果攻击者入侵了数据库并获得刷新令牌，该怎么办？那么，他有权限吗？，还有其他安全和好的方法来使用Node.js?进行身份验证吗？
提前感谢！
浏览 2提问于2022-02-07得票数 0
回答已采纳
通过实现一个actionscript OAuth库，我是一个公平的方法，我最初是用谷歌的Drive进行测试的。
我知道如何使用刷新令牌刷新访问令牌，但我的问题是如何测试它？
如何使access_token过期，以便测试捕获错误、尝试刷新、然后重新加载初始请求的代码？如果我每周只能做一次这样的事情(或者不管它们经常过期)，那就需要一段时间才能把它做好！
谢谢
浏览 2提问于2013-12-23得票数 10
回答已采纳
2回答
当我登录我的应用程序时，我正在使用OAuth2和获取访问令牌、刷新令牌和过期。当我发送请求(GET，POST)时，我及时检查了令牌过期。如果令牌过期，则使用刷新令牌获得新的访问令牌。我的同事告诉我，我不需要检查过期时间，只要每次发送请求时使用刷新令牌就可以获得访问令牌。我知道他的方式不恰当，但是如果我用他的方式会发生什么呢？为什么每次发送请求时刷新访问令牌都很糟糕？
浏览 4提问于2020-02-18得票数 2
回答已采纳
1回答
这个问题与我之前提出的如何使用"tRest“来获取API数据的问题相关联。与OAuth相关的API提供了访问和刷新令牌。现在阻碍我的是：
，，我们如何存储所有的令牌？是否有特定的组件来执行此操作？访问令牌将在一小时后过期，然后需要使用刷新令牌生成新的访问令牌(获取新的访问令牌)。
这是目前为止我在Talend工作中所做的事情。成功地，通过提供访问令牌作为API授权来获取数据。
在每次我想要抓取的时候，启用类似于“自动刷新”和设置新访问令牌而不手动刷新和复制粘贴的最好方法是什么？
浏览 6提问于2022-03-15得票数 1
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
