管理OAuth2授權授權使用期限

Question

我正在嘗試查找與授權授權的使用期限有關的OAuth2規範中的任何內容。有提及訪問令牌過期，需要刷新/更新，但我沒有看到任何關於授予。我的印象是，如果需要過期或撤銷授權許可，這將是必須添加到Auth服務器，並且不在OAuth2框架的範圍內。

我的理解正確嗎？還是我忽略了一些東西？這甚至是有效的用例嗎？

Answer 1

RFC 6749（該OAuth 2.0用戶授權框架）mentions在於：

授權碼必須是短暫的，單次使用。

RFC 6819（的OAuth 2.0威脅模型和安全注意事項）provides more detailed description：

基於瀏覽器的流暴露經由URI查詢參數協議參數，潛在的攻擊者（HTTP引用），瀏覽器高速緩存，或日誌文件條目，並可以重播。爲了減少這種威脅，通過短期授權「代碼」而不是令牌，並通過客戶端和授權服務器之間更安全的直接連接來交換代幣。

但是，在RFC中沒有關於授權令牌使用壽命的確切信息。根據我的經驗，這可能是一分鐘或幾分鐘。