为什么 OAuth2.0 要设计 refresh token

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 2759 天前的主题，其中的信息可能已经有所发展或是发生改变。

refresh token 用来请求 access token，access token 过期时间变得非常短暂，网上的答案都是说增强了安全性，但是具体没说怎么增强，请问添加 refresh token 具体意义是什么

第 1 条附言 · 2018 年 7 月 16 日

感觉大多数人也是似懂非懂的哈

11 条回复 • 2018-07-15 10:11:28 +08:00

stevenhawking

2018 年 7 月 14 日

因为短了所以安全, 添加 refresh_token 的意义就在于让他变得更安全

zwh2698

2018 年 7 月 14 日 via Android

如果一个 token 长期有效，你怕不怕别人偷你家东西？你设置失效机制，但是你活没完，怎么办申请延期，可是如果谁都能申请延期那还有什么意义，所以需要身份证

hu5ky

2018 年 7 月 14 日

Acebiu

2018 年 7 月 14 日

panpanpan

2018 年 7 月 14 日 via iPhone

access token 是给客户端的，有泄露的风险，refersh token 是给服务端的，不能暴露给用户。

HunterPan

2018 年 7 月 15 日

@panpanpan 你这个说发也解决不了泄露问题的。

Lax

2018 年 7 月 15 日

@HunterPan 把泄漏分两个阶段看

1，从 token 泄漏途径方面，确实没有减少泄漏的机会
2，当 token 已经泄漏，更短的失效时间能够减少损失。

leekafai

2018 年 7 月 15 日

scope=时间+范围

doubleflower

2018 年 7 月 15 日 via Android

有些服务 refresh token 也会很快过期，比如 inoreader 家的 API

cc959798

2018 年 7 月 15 日

@zwh2698 但是 refersh token 也是存在客户端，也可以通过获得 refersh token 来再次窃取 access token

whileFalse

2018 年 7 月 15 日

@cc959798 但是如果有需要的话，refresh_token 也可以存在服务端。