为什么 OAuth2.0 要设计 refresh token

[cc959798]

refresh token 用来请求 access token，access token 过期时间变得非常短暂，网上的答案都是说增强了安全性，但是具体没说怎么增强，请问添加 refresh token 具体意义是什么

感觉大多数人也是似懂非懂的哈

[stevenhawking]

因为短了所以安全, 添加 refresh_token 的意义就在于让他变得更安全

[zwh2698]

如果一个 token 长期有效，你怕不怕别人偷你家东西？你设置失效机制，但是你活没完，怎么办申请延期，可是如果谁都能申请延期那还有什么意义，所以需要身份证

[hu5ky]

https://www.jianshu.com/p/97c193ee1a09

[Acebiu]

/t/462507

[panpanpan]

access token 是给客户端的，有泄露的风险，refersh token 是给服务端的，不能暴露给用户。

[HunterPan]

@panpanpan 你这个说发也解决不了泄露问题的。

[Lax]

@HunterPan 把泄漏分两个阶段看

1，从 token 泄漏途径方面，确实没有减少泄漏的机会
2，当 token 已经泄漏，更短的失效时间能够减少损失。

[leekafai]

scope=时间+范围

[doubleflower]

有些服务 refresh token 也会很快过期，比如 inoreader 家的 API

[cc959798]

@zwh2698 但是 refersh token 也是存在客户端，也可以通过获得 refersh token 来再次窃取 access token

[whileFalse]

@cc959798 但是如果有需要的话，refresh_token 也可以存在服务端。