始终使用Python请求刷新令牌的响应403
对于问题中提到的"始终使用Python请求刷新令牌的响应403"，根据问题描述，这是一个请求刷新令牌时遇到的问题，返回了HTTP状态码403。以下是对该问题的解释和可能的解决方法：
HTTP状态码403表示服务器拒绝了请求，通常是因为权限不足或者身份验证失败导致的。在请求刷新令牌时，可能出现以下几种情况导致服务器返回403：
- 认证失败：可能是请求的刷新令牌无效或者过期，需要重新进行身份验证。建议检查令牌是否正确，并尝试重新进行身份验证。
- 授权失败：可能是请求的刷新令牌没有足够的权限来执行刷新操作。建议检查令牌的权限设置，并确保有足够的权限来执行刷新操作。
- 访问限制：可能是服务器对请求的刷新令牌进行了访问限制，例如IP限制、频率限制等。建议检查服务器的访问限制配置，并根据需要进行相应的调整。
解决该问题的方法包括：
- 检查身份验证信息：确保使用正确的刷新令牌，并在请求中包含正确的身份验证信息，如令牌头部或参数。
- 检查权限设置：确认刷新令牌所对应的用户或角色具有足够的权限来执行刷新操作。
- 检查访问限制：检查服务器的访问限制配置，包括IP限制、频率限制等，确保请求满足相应的限制要求。
- 检查请求格式：确保请求的格式和参数符合服务器的要求，如使用正确的HTTP方法、请求头、请求体等。
在腾讯云的产品中，与令牌刷新相关的产品包括：
- 腾讯云访问管理 CAM（Cloud Access Management）：用于管理腾讯云账号下的用户、权限和资源，可通过细粒度的权限控制来管理API访问的权限。
- 腾讯云API网关：提供一站式的API管理和控制平台，可以对API进行鉴权、访问控制、请求转发等操作。
以上是对于问题的解释和可能的解决方法，希望能对您有所帮助。
相关·内容
1回答
假设您使用的是基于令牌的身份验证，那么在此场景中将使用哪种状态代码：
客户端有一个令牌，并向服务器发出请求。
令牌过期，服务器未经授权向发送401。
客户端向发送刷新令牌。
令牌是无效的，服务器用XXX响应？
用例将是一个应用程序，它会自动捕获401，并使用刷新令牌发出请求。如果服务器将响应401 (如果此令牌无效)，客户端将尝试永远使用刷新令牌请求一个新的访问令牌。但是它应该告诉客户端，它应该用它的凭证(例如电子邮件和密码)重新认证。
我只是想知道在这种情况下哪种状态代码最适合，正如规范中所说的，在403禁止的情况下，“授权不会有帮助”。
浏览 1提问于2015-01-29得票数 1
回答已采纳
1回答
在python中，我使用的是旋风库的HTTPRequest和AsyncHTTPClient().fetch方法。响应具有403状态代码。为什么龙卷风会在403的响应上引发错误，我如何从错误响应中获得更多的信息？
例如，当我使用python“请求”库时，我仍然可以得到403，但是我可以检查响应的主体并获得更多的信息，而“旋风”会引发一个错误，而且我根本无法访问响应.
浏览 2提问于2018-01-06得票数 1
我正在为最终用户构建一个服务，作为第三方数据提供者的代理。我的服务使用令牌进行授权，如果用户没有有效的令牌，它将使用401 Unauthorized进行响应。如果令牌有效，但拒绝对资源的访问，则我的服务将使用403 Forbidden进行响应。
服务从第三方数据提供程序获取数据。这些数据提供者使用相同的响应代码(401/403)。当该令牌过期时，最终用户必须再次向该服务输入他们的凭据，以便我的服务可以从第三方提供者那里请求新的令牌。
如果我只是将401/403从第三方数据提供者转发给我的最终用户，他们将无法知道授权是否对我的服务或第三方失败。我正在使用的框架不允许我更改信息，也不允许发送带有响
浏览 0提问于2017-12-20得票数 0
回答已采纳
我使用Azure的MobileServiceClient sdk与我的服务器进行身份验证。通过升级到4.x版本，我还使用Xamarin.Auth来验证谷歌和Facebook的用户身份。当响应从Google回来时，我得到了一个刷新令牌。然后我调用移动服务sdk，如下所示：
var accessToken = account.Properties["access_token"];
var idToken = account.Properties["id_token"];
var zumoPayl
浏览 1提问于2017-09-06得票数 0
回答已采纳
1回答
何时将访问令牌与刷新令牌交换
、、、、
我知道使用OAuth2的流程是： 在短暂的访问令牌到期(服务器返回401)之后，客户端必须使用刷新令牌请求一个新的令牌。 要在iOS (带AFNetworking)或安卓(带Volley)应用程序中实现它，我想网络管理器必须能够检测返回的401错误，然后向认证服务器发送请求。 问题在于网络的并发使用。考虑访问过期的场景，应用程序发送两个请求: req1和100ms后的req2。在时间线上绘制，这看起来像： req1 --> 401 --> (refresh req) --> OK, new access and fresh tokens --> retry req1
浏览 22提问于2019-01-15得票数 0
所以，我有一个ruby on rails项目，我正在使用google创业板，我正在尝试从一个帐户下载一个文件，这个帐户是我以前授予我的项目访问和管理我的google驱动器文件的权限。我有刷新令牌和访问令牌，在一段时间内，下载工作正常。由于某些原因，在access_token过期后，即使在我使用刷新请求从API中请求一个新的错误(这确实有效)之后，下载请求也会返回一个403错误，而不提供任何有关它是什么错误的信息。
首先:为什么在刷新access_token之后，我仍然会得到403号错误？第二:为什么响应不返回有关错误的任何信息？
Fyi，如果我去我的帐户，去授权应用程序，然后再通过我的应用程序
浏览 3提问于2014-08-19得票数 1
回答已采纳
我使用IHttpClientFactory发送请求，并使用NetCore2.2从Web接收HTTP响应到外部API。
用于向API发送请求的访问令牌和刷新令牌已存储在appsettings.json中。当请求返回403或401错误时，我动态地获得一个新令牌，并将其添加到请求的头部。
但是，如何使用新的访问和刷新令牌更新appsettings.json，以便将其用于后续请求。
是否有比appsettings.json更好的存储访问和刷新令牌的方法？
浏览 0提问于2019-05-19得票数 2
回答已采纳
3回答
在过去的几天里，我一直在阅读使用刷新和访问令牌的身份验证，但这是我找不到答案的一件事。假设发送了过期的访问令牌。后端应该自动刷新它(如果提供了刷新令牌)，还是应该只在刷新端点进行刷新？
例如，考虑以下两个流程：
自动刷新
用户使用用户名和密码进行身份验证。API返回一个包含他的数据的短期访问令牌和一个长寿命的刷新令牌。
对于每个需要身份验证/授权的请求，用户将在请求头上发送两个令牌。
如果访问令牌过期，API将检查是否发送了有效的刷新令牌，它是否处于活动状态，是否属于与访问令牌相同的用户。如果一切看起来都很好，那么它将签署一个新的访问令牌，并使用它更新响应头。
前端不必担心
浏览 6提问于2020-11-10得票数 6
回答已采纳
1回答
我读了很多关于刷新token的文章，但我什么也没读到，它们看起来太复杂了。你能给我解释一下我的样品吗？我正在进行登录，在响应中，我得到了带有access_token、refresh_token和时间戳的对象。在我将两个令牌保存在localStorage中之后。稍后，当access_token到期时，我收到403错误(禁止)。没有令牌过期的消息。你能帮我一下吗？
signIn(event) {
event.preventDefault()
const formdata = new FormData()
formdata.append("username",
浏览 1提问于2019-04-01得票数 0
这个快速入门代码处理刷新令牌吗？如果是这样，在哪里/如何进行？
我正在开发一个Python应用程序，它需要连续/不受限制地访问Gmail帐户电子邮件，所以我想确保我正在处理本页面中描述的场景：
具体地说，“如果你的应用程序需要离线访问，当你的应用程序第一次交换授权码时，它还会收到一个刷新令牌，用于在前一个令牌过期后接收新的访问令牌。你的应用程序存储这个刷新令牌(通常存储在服务器上的数据库中)以供以后使用”。
我不清楚快速入门代码是否/如何处理这个问题。谢谢!
浏览 1提问于2014-11-14得票数 1
1回答
我慢慢地掌握了使用Microservices进行身份验证的诀窍，但我遇到了一个相当基本的问题。我假设的架构如下：auth微服务、处理注册、登录、令牌刷新和处理用户待办事项的TODOS微服务。
我希望在刷新令牌的同时使用短命的JWT。
如何使用刷新令牌？由于JWT的过期时间太快(几分钟)，我是否向todos提出请求?同时，如果JWT过期，我会发回一个错误(未经授权或JWT过期的特定错误)？然后，我会返回auth服务刷新，然后再以某种方式调用API吗？我是否在客户机上池并定期检查JWT是否已过期？
这些是我的一些问题，但基本上可以归结为
如何处理JWT到期？(在调用API和空闲时)是返回JWT已过
浏览 1提问于2022-04-01得票数 1
回答已采纳
我已经创建了一个通过MYSQL连接到MYSQL的C#应用程序。(都是我自己写的)。
我正在学习这一点，并试图获得最安全的方法来组织令牌和刷新令牌。
目前，我的API令牌没有到期，所以我正在实现：
5 min令牌1年参考令牌
我的困惑在于工作流程。我可以理解两种选择：
1.不要在标题“始终”中使用参考令牌：
request.Token过期的发送令牌--应用程序应用程序发送刷新令牌检查刷新令牌存在(在mysql中)检查刷新未过期<代码>H 119</code>新令牌被发送回App<代码>H 220</代码><code>H 121</
浏览 3提问于2022-02-22得票数 1
1回答
我在Identity Server 4 auth服务器中创建了一个客户机，并设置了以下令牌属性：
var idsClient = new Client
{
ClientName = parsedResult.Name,
ClientId = parsedResult.ClientId,
RequireConsent = false,
RequirePkce = false,
浏览 0提问于2019-03-08得票数 1
回答已采纳
1回答
我正在写一个Chrome扩展，需要通过OAuth 2.0访问minus.com。我有密钥和秘密，但没有刷新令牌，所以每次我创建一个刷新令牌为undefined的XMLHttpRequest时，服务器都会响应一个400错误，响应文本为“没有这样的刷新令牌:未定义”。那么，谁能告诉我如何获得刷新令牌？
谢谢!
浏览 0提问于2012-04-05得票数 3
回答已采纳
3回答
：刷新令牌和重新启动请求
、、、、
我正在使用Moya，如果状态代码为401或403，我想要捕获响应，然后调用刷新令牌请求，然后再次回忆/重试原始请求，为此我遵循了这个，但我对它做了一些调整，以满足我的需要
public extension ObservableType where E == Response {
/// Tries to refresh auth token on 401 errors and retry the request.
/// If the refresh fails, the signal errors.
public func retryWithAuthIfNeeded(sessionServ
浏览 1提问于2018-07-27得票数 0
回答已采纳
3回答
在http请求之前检查访问令牌
、、、、
我正在创建一个使用角1.5.8和Laravel5.2的应用程序。我正在使用的一个库来创建基于令牌的Auth
通过角度，我打了一个电话，我收到access_token，TTL和refresh_token。我把access_token和refresh_token存储在localStorage上。我可以使用access_token进行调用，从API中获取一些数据。当令牌过期时，我将收到一条消息，表明该令牌与401代码一起无效
因此，我的问题是，在向API发送http请求之前，如何检查令牌是否仍然有效？刷新令牌的最佳方法是什么？好的，我可以向发送刷新令牌的请求，但是如何在每个http请求之前检查它呢？
浏览 5提问于2016-11-08得票数 1
回答已采纳
如果没有csrf令牌，我将得到403响应，所以看起来我需要它。我现正尝试这样做：
import requests
import sys
URL = 'http://127.0.0.1:8000/toasterinfo'
client = requests.session()
# Retrieve the CSRF token first
client.get(URL) # sets cookie
csrftoken = client.cookies['csrf']
r = client.post(URL, data={'number':
浏览 14提问于2017-06-01得票数 1
回答已采纳
1回答
在服务器上刷新后刷新令牌本地存储
、、、、
jwt令牌过期后如何处理？
我真的需要知道在本地存储中处理令牌的最好方法是什么，在我的服务器上，如果标头上的令牌过期了，我会刷新它，并且本地存储中的令牌在从服务器刷新后不会更新，我可以认为每个响应都在刷新令牌之后，我会在每个响应上设置令牌，然后将其设置为本地存储，对于每个需要令牌的请求，但我确信这样做效率不高，工作量太大，对吧？从服务器为客户端处理刷新令牌的最佳实践是什么？
浏览 3提问于2019-09-22得票数 0
1回答
工具：.NET 6与EF核心，Vue 3与Axios。
R-令牌是刷新令牌。DB是数据库。
我有JWT + Refresh令牌auth的简单实现。
客户端发送登录和密码。
检查DB中的密码哈希。
如果确定，则生成保存到DB的JWT令牌(短生存期，1-5分钟)和刷新令牌(长寿命，365天)。
客户端使用JWT发出请求。
当Axios拦截器获得401时，请尝试使用在刷新令牌下面生成的令牌刷新令牌。
使用刷新令牌从DB删除，如果应用程序无法在DB中找到R令牌，则响应403。
因此，在客户机上，我有一些调用服务器的间隔操作。有时，它们同时执行，如果JWT令牌过期
浏览 8提问于2022-05-13得票数 1
回答已采纳
1回答
我试图用OIDC和OAuth2实现刷新令牌，并且在理解工作流时遇到了困难。据我所理解，使用授权代码流，从/token端点获得响应中的刷新令牌的是在/authorize请求中存在offline_access作用域。
我的问题是，对令牌端点的请求如何知道如果offline_access作用域仅发送到/authorize端点，或者该作用域是否也存在于令牌请求中，则它应该返回该用户登录的刷新令牌？还是在这种情况下，应该在/authorize工作流中生成和存储刷新令牌，然后返回代码，然后在要返回的/token工作流中查找？
具体遵循此工作流程：
浏览 13提问于2020-02-18得票数 1
回答已采纳
1回答
首次使用拦截器刷新过期的JSON Web令牌。我实现的响应拦截器每次都可以成功地刷新令牌，但仍然会记录我从jwt.verify抛出的服务器端错误。(每次令牌刷新前，我都会看到403被禁止)。 如果我在服务器端和客户端的操作都是正确的，那么这个错误应该记录在浏览器中吗？我不希望在登录控制台时出现此错误。现在我在想，我必须在令牌过期之前刷新它，甚至不使用拦截器。
浏览 26提问于2021-09-01得票数 0
1回答
我正在使用JWT令牌来验证我的API请求。访问令牌1分钟后到期，刷新令牌1年后到期。访问令牌过期后，将发送一个带有刷新令牌的API请求，以获取一组新的令牌。仅当刷新令牌有效且存在于数据库中时，才会发送一组新的令牌。我使用Axios拦截器来实现这一点。在一段时间内，一切似乎都运行得很好。但是，即使刷新令牌有效并且确实存在于数据库中，它也会将我注销。我假设我在Axios拦截器中遗漏了一些东西，或者与异步函数有关。 服务器端verifyRefreshToken函数错误日志代码不匹配，客户端updateToken函数错误日志错误。 客户端代码API.js // Response intercepto
浏览 12提问于2021-07-02得票数 0
1回答
我在nodejs中实现了一个仅通过ajax请求通信的API的安全令牌。
在每次请求时，都会发送一个安全令牌，如果存在此令牌，则生成一个新令牌，并通过报头在响应中发送。
如果不存在，则响应以403结尾，如果没有传递登录凭据。
问题是，当我同时启动两个请求(假设A和B)时，它们都发送相同的安全令牌，A在B之前结束，从而在B之前更新令牌，因此传递给B的令牌在这种情况下无效，因为它被A失效。
我怎样才能克服这个问题？
我如何重新实现它？
浏览 3提问于2016-08-27得票数 1
回答已采纳
1回答
我正试图在一个网站上搜索一些公共信息(苹果应用程序的信息)。
这个网站需要登录才能执行诸如“搜索应用程序/开发人员”之类的操作。虽然有许多网站提供类似的信息，但我认为这个特定的网站提供了每个应用程序最完整和详细的信息。
作为一个有效的用户，我能够执行这个任务。
但是，当我试图通过python代码访问信息时，在发送POST请求时遇到403个错误，发送Get请求时遇到504个错误。
我试过用
实userAgent报头
假用户代理“包”
FancyOpener/类似事物，显示为python3.4贬值
HttpAuthM./类似的东西，对于身份验证，仍然不起作用
我想该网站是高
浏览 9提问于2016-08-26得票数 1
2回答
我使用了一个登录表单并通过POST AJAX请求提交了一个模式。我只能登录一次，当我注销并再次登录时，AJAX请求的错误消息是这个(CSRF失败)。
Prohibido (403)
Verificación CSRF fallida. Solicitud abortada
只有当我刷新按F5的整个页面时，登录才能再次工作。登录成功后，我只刷新标题，而不是整个页面。我的刷新代码是：
$('#update-' + idToUpdate).load(' #' + idToUpdate);
编辑： I发现CSRF令牌在成功请求后只能工作一次。我必须为表单再次工作生成一个
浏览 2提问于2017-08-20得票数 0
回答已采纳
1回答
与Python
、、
我在下面的帖子上寻求更多的帮助，因为我还不能发表任何评论。我的情况与在这个问题中描述的完全相同:我可以获得一个访问令牌，但是将它用于数据集会给我一个403响应。我的目标是在没有UI的Python中使用。
有人能说明使用用户名和密码的认证流程是如何实现的吗?在哪个阶段？我是首先获得访问令牌，还是根本不需要任何访问令牌？
或者，也许有人没有使用用户名和密码就解决了身份验证流？
任何帮助都是非常感谢的！
浏览 2提问于2016-07-13得票数 0
回答已采纳
2回答
我有一个部署在IIS上的web。api正在使用负载运行程序进行负载测试，几乎在所有的替代API调用上，得到403个错误响应代码，很难识别问题，调用不去API，它从IIS返回
浏览 0提问于2019-07-04得票数 0
回答已采纳
4回答
我需要(在拦截器类中)对403禁止HTTP状态作出反应(以获得/刷新) JWT令牌，并使用新令牌重试请求。
在下面的代码中，当服务器返回错误响应时，它会转到成功回调(而不是像我预期的那样进入错误回调)，并且事件是类型的对象(在错误响应的反应中是无用的)。事件对象如下所示：{type:0}。
问题：
当我需要刷新-How时，要正确处理HttpInterceptor中的httpErrorResponse (403禁止)并重试http请求？
import {
HttpInterceptor,
HttpRequest,
HttpResponse,
HttpHandler,
Htt
浏览 2提问于2017-07-25得票数 7
回答已采纳
2回答
我有一个基于令牌的认证机制的API。成功登录后，我在浏览器的本地存储中存储了两个令牌-访问令牌和刷新令牌。访问令牌包含在服务器端授权用户所需的所有必要信息，并且具有到期日期。当访问令牌过期时，客户端可以使用刷新令牌请求一个新的访问令牌，并且在响应中它将获得一对新的令牌。
在angular 1.x中，实现非常简单和直接。例如，我们可以使用拦截器：
httpInterceptor.$inject = ['$httpProvider'];
function httpInterceptor($httpProvider) {
$httpProvider.interceptors.pu
浏览 2提问于2016-04-16得票数 7
在访问令牌过期后(即，令牌创建后30分钟)断开与xero组织的连接时，获得403验证失败。我正在使用C# (.NET 4.6.1)，并尝试使用client.RefreshAccessTokenAsync方法刷新访问令牌。该方法生成新的访问令牌和刷新令牌，但在断开组织连接时生成验证失败。
你知道我哪里错了吗？
浏览 4提问于2020-12-03得票数 0
我们可以使用Oauth2.0从Google获得数据，但现在我们突然得到403个用户速率限制和401个无效凭据。
在服务器启动的时候，
严重:无法刷新令牌com.google.api.client.auth.oauth2.TokenResponseException: 403用户速率限制
对于随后的请求，
com.google.api.client.googleapis.json.GoogleJsonResponseException: 401未经授权的{“代码”：401，“错误”：{“域”：“全局”，“位置”：“授权”，"locationType“：”头“，”消息“：”无效凭据
浏览 7提问于2013-08-10得票数 2
2回答
我正在尝试实现JWT令牌(访问令牌和刷新令牌)，但在刷新令牌仍然有效的情况下，我遇到了一个问题，即请求具有过期访问令牌的受保护资源。
我知道我不应该使用刷新令牌来请求资源，应该对授权验证器使用刷新令牌来重新验证/重新生成访问令牌。
在我的应用程序中，用户可以使用有效的凭证通过POST请求登录以获得访问令牌(Exp)。在1分钟内)和刷新令牌(例如。在10分钟内。)现在假设用户在登录30秒后发出请求，并发送两个令牌，然后检查令牌并返回资源。如果现在用户在2分钟后发出请求并发送令牌，那么他的访问令牌是无效的，在这个场景中，我如何处理请求并重新验证令牌。
--我可以想到中间件来验证和提供令牌，并将其与
浏览 6提问于2021-06-06得票数 0
1回答
simple_oauth模块有以下问题。
使用以下表单数据，我可以通过POST请求获得初始的jwt令牌:用户名:用户密码:密码: client_id: xxxx client_secret: yyy作用域: oauth grant_type: password
此令牌具有实际访问令牌和刷新令牌。所以当我们得到403返回码时，我有一个角度截取器来刷新令牌。刷新令牌的调用再次是对/oauth/token的POST请求，其负载略有不同: client_id: xxxx client_secret: yyy作用域: oauth grant_type: refresh_token refresh_tok
浏览 0提问于2019-10-11得票数 1
1回答
TLDR:我的任务是完成3个请求，而不是1，然后返回最后一个响应，作为对第一个请求的响应，而不需要对请求发起者进行任何额外的修改。
我已经扩展了Http类以自动将授权头附加到我的所有请求中，并实现了自己的授权错误处理。
看起来是这样的：
request(url: string | Request, options?: RequestOptionsArgs): Observable<Response> {
// ... append some headers
super.request(url, options).catch((error: Response)
浏览 3提问于2017-05-10得票数 3
1回答
我试图在我的快递中间件中配置令牌刷新方法，在每次对api的请求中，令牌都是有效的。我将检查令牌是否过期，如果过期，我将用新的exp日期签署一个新令牌。问题是我必须再次发送令牌，但是执行thatI会丢失发送令牌的原始请求和响应，并且api不再继续到目标端点。如何将新的刷新令牌发回并继续进行请求？
我的快递中间件检查令牌：
apiRouter.use(function(req, res, next) {
var token = req.body.token || req.query.token || req.headers['x-access-token'];
浏览 0提问于2018-02-07得票数 1
回答已采纳
1回答
我以前读过，访问令牌必须与每个对API的请求一起发送，但只有在访问令牌过期时，才必须发送刷新令牌。
我试图使用类似于传统模型的模型，其中访问令牌是JWT，但刷新令牌只是一个随机的唯一字符串(存储在服务器上)。
因此，JWT声称的访问令牌如下所示：
{
"user_id": "user123456789",
"refresh_token": "A9t2G8eH8j2QW2j9U",
"exp": 154922000
}
当客户端向我的API发送请求时，访问令牌(JWT)将被发送到服务器。如果它过期了
浏览 0提问于2020-03-28得票数 0
回答已采纳
在为oauth代码授予流生成授权URI时，我已经包含了“扩展”范围，但是在刷新访问令牌时，我在响应中将范围作为“签名”。如何在刷新访问令牌时获得具有扩展范围的刷新令牌。我附加了代码，以便从刷新令牌中获取访问令牌。
auth_string = "{0}:{1}".format(
DOCUSIGN_CLIENT_ID, DOCUSIGN_CLIENT_SECRET
)
auth_encoded_hash = b64encode(auth_string.encode("utf-8"))
浏览 3提问于2022-01-19得票数 0
回答已采纳
1回答
我正在制作一个工具，使用python将注册信息发布到API中。我对令牌过期有点意见。令牌的过期时间是300秒，所以我必须不断刷新令牌。有什么办法可以安排300秒后刷新令牌吗？
我在一个名为logAPI.py的文件中有一个python脚本，它包含多个任务、进程和函数(而且它可以工作)。我有另一个名为authorization.py的文件，它包含一个函数，该函数调用授权API并返回一个令牌，这样我就可以调用其他API。由于令牌过期时间是300秒，所以我打算在300秒后返回一个新令牌。
我试过with函数、调度模块、cron模块和导入os，但都失败了。
浏览 6提问于2021-12-27得票数 1
回答已采纳
我目前正在开发一个遗留应用程序，该应用程序在某种程度上实现了一个OAuth2流。简而言之，当用户使用用户名/密码登录时，他会收到一个访问/刷新令牌对。访问令牌在20分钟后到期，而刷新令牌的生存期为180天。
现在，当客户端由于过期的访问令牌而获得未经授权的HTTP 401时，它将使用刷新令牌来获得新的访问/刷新令牌对。同时，我们使后端数据库中的旧令牌对失效(我们只需删除条目)。
这有一些主要问题，因为我们的客户端是移动应用程序，有时客户端可能没有收到来自我们服务器的响应。因此，在我们的后端保存了新的令牌对(例如，由于网络问题，客户端没有收到这些令牌对)之后，客户机就不能再获得一个新的令牌对，因
浏览 11提问于2022-03-08得票数 4
回答已采纳
我已经将这个功能从部署到我的google项目中。
在客户端，最终用户通过firebase signInWithPopup身份验证进行身份验证。id令牌是通过user.getIdToken().then(token => { ... // ... }从结果用户获取的。
然后通过有角度的httpclient调用对端点进行调用：
const url = 'https://[MY-PROJECT-SUBDOMAIN].cloudfunctions.net/hello_get/';
this.auth.user.getIdToken().then(token => {
浏览 5提问于2019-11-22得票数 2
回答已采纳
假设我的用户登录，服务器用一个保存在cookie中的刷新令牌(SameSite严格，HttpOnly，CSRF令牌)和响应访问令牌(保存在JS内存中)进行响应。
我在一篇流行的Hasura文章中阅读了这些指南。不过，我想知道，使用这种方法，每次请求都会发送刷新令牌，因为您无法从客户端删除cookie。
这有什么坏处吗？我想发送一个对每个请求提供无限/长时间访问的令牌是一种糟糕的做法吗？如果是的话，是否有更好的方法使我不对每个请求发送刷新令牌，并且只对要刷新访问令牌的请求发送刷新令牌？
这样做的其他方式也将受到赞赏。
浏览 0提问于2021-07-26得票数 1
回答已采纳
我正在尝试使用Python请求库访问Azure AD Graph API。我的步骤是首先获得授权码。然后，使用授权码请求访问令牌/刷新令牌，最后查询API。
当我浏览浏览器时，我能够获得我的授权码。我将其复制过来以获取访问令牌。但是，我不能用Python脚本做同样的事情。我被困在获取授权码的地方了。
我的脚本返回一个响应码200，但是响应头没有包含这个字段。我本以为新的URL和代码会出现在响应头中。我还期望得到301的响应代码。
有人知道为什么我的响应头没有验证码吗？另外，在给定授权码的情况下，如何使用Python获取访问/刷新令牌？
我的代码如下：
import requests
s =
浏览 1提问于2015-12-01得票数 0
我正在开发一个与我的IOS应用程序一起使用的应用程序接口，我很好奇在oAuth2中使用刷新令牌的最佳实践。我使用用户密码授权来生成访问令牌和刷新令牌。
如果令牌每隔60分钟过期一次，则意味着每隔60分钟，客户端将不得不进行3次连续的API调用: 1.使用访问令牌从API获取资源，2. api以无效令牌响应，因此我们需要使用刷新令牌，3.现在令牌已刷新，我们需要再次尝试初始调用。
那么，我想知道的是，最好是在令牌到期前刷新令牌？或者，在API以过期令牌错误响应后，生成新的访问令牌更好？
浏览 0提问于2015-06-04得票数 3
我在应对JS时遇到了这个挑战。我设计我的系统使用令牌刷新和令牌旋转，所以当令牌过期时，后端会自动删除cookie，这也应该发生在前端，方法是删除存储令牌的localStorage变量并将用户重定向到登录页面。如果响应错误为403，则使用Axios拦截器自动检查响应错误，并使用刷新令牌访问/refresh端点。问题是，当刷新失败时，意味着令牌已过期，我无法将用户自动重定向到登录页面。也就是说，localStorage令牌不会被删除，这应该是在刷新令牌失败时发生的。删除令牌和用户最终被重定向到登录页面需要2或3页刷新。在这些尝试中，没有加载数据，这是预期的，因为后端已经通过从后端删除cookie来
浏览 3提问于2022-10-15得票数 0
3回答
目前，我们正在就保护我们的多个微型服务进行辩论。主要关注的是，提供给我们的JWT令牌将在调用完成之前过期。(这是在同步设计中)这里有三项建议：
客户端应用程序在长时间调用之前有一个“确保(int分钟)”方法，必要时调用令牌提供程序。如果JWT击中了安全过滤器，就让它过期。
客户端应用程序同时发送JWT和刷新令牌。如果JWT过期，请使用刷新令牌获取新令牌，并通过令牌提供程序将其放置在响应标头上。
创建“登录”服务。登录缓存刷新信息并返回JWT。通过令牌提供程序发送旧的JWT以获得刷新的JWT。
有什么想法？注:我投第一票，其余的似乎不安全，但方便。
浏览 0提问于2018-02-19得票数 6
我正在用api搜索google plus
这是我的网址：
以下是响应：
{
"error": {
"errors": [
{
"domain": "global",
"reason": "insufficientPermissions",
"message": "Insufficient Permission"
}
],
"code": 403
浏览 0提问于2013-06-07得票数 29
回答已采纳
2回答
我试图在nodejs、中使用csurf。我的电脑冲浪现在很好，但是我想再检查一下我是否做得对。
以下是我的nodejs路由器和中间件结构：
app.use(cookieParser());
app.use("/api/...") // routes that don't need csrf
app.use("/form/...",csrf({cookie:true})) // form path with csrf middleware
app.use(express.static("/img")) // image folder
浏览 0提问于2019-09-23得票数 0
我正在使用Azure服务管理应用程序接口和OAuth应用程序接口生成访问令牌。但是当对授权类型"refresh_token“进行调用时，为了刷新访问令牌，它返回新的访问令牌，但是该响应没有新的刷新令牌。所以我必须使用旧刷新令牌来刷新访问令牌。问题是5-6小时后，刷新令牌返回错误invalid_client(验证凭据时出错。提供的客户端密钥无效)。在其他情况下，比如通过Azure AD进行Office 365应用程序身份验证，它会返回所有内容。
有没有什么特殊的参数或者头部需要我通过API调用来传递？
下面是我的代码的截图
请帮帮忙。
提前感谢
浏览 1提问于2016-02-10得票数 4
1回答
在我的应用程序中，当用户成功登录时，我返回一个访问令牌和一个刷新令牌。访问令牌和刷新令牌的过期时间分别设置为10分钟和40分钟。(我应该对这些价值做更多的研究。这只是为了测试)
我使用了下面文章中描述的实现。
假设我在登录10分钟后向服务器调用了一个请求。由于访问令牌已过期，我收到了401错误响应。
然而，作为一个初学者，我发现很难理解我是否需要显式地发送刷新令牌来获得新的访问令牌。如果我要这么做，该怎么做呢？我应该以什么方式发送刷新令牌？标题？
否则，当我的请求由于访问令牌过期而被服务器拒绝时，刷新令牌本身是否应该自动向服务器发送请求以获取新的访问令牌？
我发现很难从网上找到的资源中理解刷
浏览 14提问于2017-07-08得票数 17
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
