重複OAuth 2訪問令牌請求的預期行爲

Question

我正在爲應用程序實現OAuth 2，並且在重複成功的令牌請求時，我找不到specification中的預期行爲。

我的問題是：

當一個成功的請求重複

• 應該把它作爲前返回相同的承載令牌？
• 或者它應該返回一個新的令牌並使之前失效？
• 或者它應該返回一個新的令牌嗎？所以你可以通過這兩個令牌來授權。

我看到twitter implementation返回相同的標記，但是這是根據規範嗎？

Answer 1

預期的行爲是授權服務器返回一個新的訪問令牌。授權服務器可能會根據它所維護的安全策略使先前的訪問令牌失效，並不要求這樣做。訪問令牌應該是短暫的，並且只有當舊的令牌過期或即將到期時才應請求新的訪問令牌。除此之外：不記名令牌的格式可以是這樣的（例如，獨立的JWT），它甚至不能被撤銷。