我正准备将我的身份验证策略从每天过期的httponly jwt更改为刷新/承载令牌方法。然而,由于刷新令牌可以创建新令牌,这是否会带来巨大风险?为什么人们推荐这样做?我有什么遗漏吗?
在OpenID on Oauth2中描述的访问令牌和刷新令牌具有不同的用途:
在OAuth2授权流程中,成功进行用户身份验证后,服务器提供一个授权代码,该代码可以在第二步中用于从令牌端点获取访问和刷新令牌。刷新令牌被安全地存储,例如在服务器端。客户端代理使用访问令牌进行身份验证。
访问令牌仅在exp
时间内有效。由于它们的寿命很短,因此潜在盗窃可能造成的损失有限。当访问令牌即将过期时,使用未受到威胁的刷新令牌从令牌端点获取新的短期访问令牌。