@
chinvo 这么说我怎么觉得 refresh token 放在 agent 上更安全？ refresh token 只要不配合 client secret 就是无效的，而 refresh token 相当于是一个临时的用户密码，这样不就相当于在客户端的服务器上明文存用户密码了..？客户端服务器如果被攻破 client secret 和 refresh token 就会一起泄漏。如果 refresh token 放在 agent 上，client 接收 agent 的刷新请求（并用自己的手段认证 agent ）再向 oauth 认证服务器请求会不会更好一些？
Select Language