[What is the purpose of a “Refresh Token”?](https://stackoverflow.com/questions/38986005/what-is-the-purpose-of-a-refresh-token)

問題：我有一個與 YouTube Live Streaming API 整合的程式。我以每 50 分鐘的時間間隔，使用重新整理令牌(refresh token)獲取一個新的訪問令牌(Access Token)。 我的問題是，為什麼 OAuth 要設計雙重 token？

當我透過 YouTube 進行身份驗證時，它給了我一個重新整理令牌。然後我使用這個重新整理令牌大約每小時獲取一個新的訪問令牌。 如果我有重新整理令牌，我總是可以使用它來獲取新的訪問令牌，因為它永遠不會過期。所以我不認為這比從一開始就給我一個訪問令牌更安全。

# 回答

簡單地說，重新整理令牌用於獲取新的訪問令牌。

為了清楚地區分這兩個令牌並避免混淆，以下是 [OAuth 2.0 授權框架](https://tools.ietf.org/html/rfc6749#section-1.4)中給出的功能：

* 訪問令牌由授權伺服器在資源所有者的批准下頒發給第三方客戶端。客戶端使用訪問令牌訪問由資源伺服器託管的受保護資源。重新整理令牌是用於獲取訪問令牌的憑據。

* 重新整理令牌由授權伺服器頒發給客戶端，用於在當前訪問令牌失效或過期時獲取新的訪問令牌，或者獲取具有相同或更窄範圍的附加訪問令牌。

出於安全原因，refresh_token 只與授權伺服器交換，而 access_token 與資源伺服器交換。這降低了“訪問令牌有效期為一小時，重新整理令牌有效期為一年或撤銷前有效”與“訪問令牌有效直至撤銷而無需重新整理”中長期存在的 access_token 洩漏的風險。

重新整理令牌至少有兩個用途。首先，重新整理令牌是一種“證明”，表明 OAuth2 客戶端已經從使用者那裡獲得了訪問其資料的許可，因此可以再次請求新的訪問令牌，而無需使用者透過整個 OAuth2 流程。其次，與長期訪問令牌相比，它有助於增加整個安全流程。

# 重新整理令牌作為不影響使用者體驗的一種方式

讓我們用一個例子來談談第一個目的。假設您是一名使用者，正在使用想要與您的 YouTube 帳戶資料進行互動的第三方客戶端網路應用程式。一旦您授予客戶端應用程式使用您的 YouTube 資料的許可權，您是否希望客戶端應用程式在其 YouTube 令牌過期時再次提示您獲得許可？如果 YouTube 令牌到期時間非常短（例如 5 分鐘），會發生什麼？

如果客戶端應用程式至少每 5 分鐘提示您一次許可，那會有點煩人！ OAuth2 針對這個“問題”提出的解決方案是重新整理令牌。透過使用重新整理令牌，訪問令牌可以保持短暫的生命週期（這在訪問令牌以某種方式洩露或被盜的情況下是可取的），並且重新整理令牌可以保持長期（更）生命週期，從而允許客戶端獲得新的訪問許可權令牌過期時無需使用者再次許可。

但是為什麼要重新整理令牌呢？如果重點是不讓使用者使用許可權請求，那麼為什麼客戶端不能簡單地說“嘿，授權伺服器，我想要另一個訪問令牌。而是，“嘿授權伺服器，這是我過期的令牌，給我一個新的！”。重新整理令牌作為一種“證明”，證明客戶端在某個原始時間點被使用者授予訪問許可權。該“證明”採用由授權伺服器數字簽名的重新整理令牌的形式。透過客戶端提供重新整理令牌，授權伺服器可以驗證客戶端在過去的某個時間點收到了使用者的許可，並且客戶端不必再次提示使用者。

# 重新整理令牌作為提高安全性的一種手段

然而，這提出了一個問題，“好吧，如果重新整理令牌被洩露或被盜，或者只是被惡意客戶端應用程式保留而沒有應使用者的要求將其刪除，會發生什麼？攻擊者能不能繼續使用重新整理令牌無限期地（或直到它過期）獲得有效的訪問令牌？這個問題導致討論我提到的第二個目的，重新整理令牌有助於更安全的流程。

訪問令牌出現的問題是，一旦獲得，它們只會呈現給資源伺服器（例如 YouTube）。因此，如果訪問令牌被盜或洩露，您如何告訴資源伺服器不要信任該令牌？好吧，你真的不能。唯一的方法是更改授權伺服器上的私有簽名金鑰（首先對令牌進行簽名的金鑰）。

另一方面，重新整理令牌需要頻繁地提交給授權伺服器，因此如果一個令牌被洩露，那麼撤銷或拒絕整個重新整理令牌是微不足道的，而不必更改任何簽名金鑰。

access token (the one that expires soonest) is stored in local storage
refresh token only stored in memory for security reasons
that is why if you refresh after first time period, you have to log in

為什麼 OAuth 裡除了 Access Token 之外，還需要 Refresh Token？

相關文章