1.5. 刷新令牌

刷新令牌是用于获取访问令牌的凭据。刷新令牌由授权服务器颁发给客户端，用于在当前访问令牌失效或过期时，获取一个新的访问令牌，或者获得相等或更窄范围的额外的访问令牌（访问令牌可能具有比资源所有者所授权的更短的生命周期和更少的权限）。颁发刷新令牌是可选的，由授权服务器决定。如果授权服务器颁发刷新令牌，在颁发访问令牌时它被包含在内（即图1中的步骤D）。

刷新令牌是一个代表由资源所有者给客户端许可的授权的字符串。该字符串通常对于客户端是不透明的。该令牌表示一个用于检索授权信息的标识符。不同于访问令牌，刷新令牌设计只与授权服务器使用，并不会发送到资源服务器。

  1. +--------+                                           +---------------+
  2. |        |--(A)------- Authorization Grant --------->|               |
  3. |        |                                           |               |
  4. |        |<-(B)----------- Access Token -------------|               |
  5. |        |               & Refresh Token             |               |
  6. |        |                                           |               |
  7. |        |                            +----------+   |               |
  8. |        |--(C)---- Access Token ---->|          |   |               |
  9. |        |                            |          |   |               |
  10. |        |<-(D)- Protected Resource --| Resource |   | Authorization |
  11. | Client |                            |  Server  |   |     Server    |
  12. |        |--(E)---- Access Token ---->|          |   |               |
  13. |        |                            |          |   |               |
  14. |        |<-(F)- Invalid Token Error -|          |   |               |
  15. |        |                            +----------+   |               |
  16. |        |                                           |               |
  17. |        |--(G)----------- Refresh Token ----------->|               |
  18. |        |                                           |               |
  19. |        |<-(H)----------- Access Token -------------|               |
  20. +--------+           & Optional Refresh Token        +---------------+

图2：刷新过期的访问令牌

图2中的所示流程包含以下步骤：

  • （A）客户端通过与授权服务器进行身份验证并出示授权许可请求访问令牌。
  • （B）授权服务器对客户端进行身份验证并验证授权许可，若有效则颁发访问令牌和刷新令牌。
  • （C）客户端通过出示访问令牌向资源服务器发起受保护资源的请求。
  • （D）资源服务器验证访问令牌，若有效则满足该要求。
  • （E）步骤（C）和（D）重复进行，直到访问令牌到期。如果客户端知道访问令牌已过期，跳到步骤（G），否 则它将继续发起另一个对受保护资源的请求。
  • （F）由于访问令牌是无效的，资源服务器返回无效令牌错误。
  • （G）客户端通过与授权服务器进行身份验证并出示刷新令牌，请求一个新的访问令牌。客户端身份验证要求基于客户端的类型和授权服务器的策略。
  • （H）授权服务器对客户端进行身份验证并验证刷新令牌，若有效则颁发一个新的访问令牌（和——可选地——一个新的刷新令牌）。

步骤（C）、（D）、（E）和（F）在本规范的范围以外，如第7节中所述。

Links