我可以在無人蔘與的工作流程中使用OAuth2服務嗎？

Question

OAuth2的'流程'涉及讓用戶說'是的，這很好'。返回的令牌是暫時的。

但我試圖創建一個無人蔘與的服務。刷新標記是否總能正常工作？我感覺它也會過期。

Answer 1

Adrian，

這取決於誰在實施OAuth2。在刷新標記的description中，到期不作爲規範的一部分進行討論。該規範後來就state有些含糊去那的invalid_grant值誤差的話可以退還：

所提供的授權許可（如授權碼，資源 所有者憑證）或刷新令牌無效，過期，撤銷， 是否與授權請求中使用的重定向URI不匹配，或 是否已頒發給其他客戶端。

這似乎暗示刷新令牌可能會到期。

該文件還提到可以交換「具有長期訪問令牌或刷新令牌的憑證」，從而將它們分組到相同的到期類中。

規範的最新版本可以在這裏找到：http://tools.ietf.org/html/draft-ietf-oauth-v2

至於Google具體實施

Refresh tokens are valid until the user revokes access. 

刷新令牌的有效期爲所有的時間，唯一的例外來當用戶撤銷該權限。

對於Google OAuth2，用戶可以通過web GUI或使用OAuth revoke endpoint撤銷權限。