在Auth0中,您可以使用刷新令牌。在此链接中,我们可以看到许多返回的参数:lock.showSignin({ authParams: { scope: 'openid offline_access' } }, function (err, profile, id_token, access_token, state, refresh_token) { // store refresh_token }); 显然,访问令牌可以用于检索用户配置文件数据。但这似乎是特定于oauth的,我以为auth0使用openid? id_token和access_token之间有什么区别?
OpenID Connect是建立在OAuth2之上的。 access_token用于调用Auth0中的某些API(例如/userinfo)或您在Auth0中定义的API。 id_token是一个JWT,表示已登录的用户。它通常被您的应用程序使用。 refresh_token(仅供移动/桌面应用程序使用)不会过期(但可撤销),它允许您获取新生成的access_tokens和id_token。
你的服务器端应用程序(资源服务器)仅接受客户端的访问令牌。这是因为访问令牌旨在授权对资源的访问。另一方面,ID令牌旨在进行身份验证。包含有关终端用户信息的OpenID提供者授予此权限。来源 访问令牌是应用程序代表用户发出API请求的凭证。访问令牌代表特定应用程序访问用户数据特定部分的授权。必须保密访问令牌。刷新令牌的概念是,如果访问令牌被攻击者窃取,由于其有效期短暂,攻击者可以滥用它的时间有限。如果刷新令牌被攻击者窃取,它是无用的,因为攻击者需要客户端ID和密钥以及刷新令牌才能获得访问令牌。来源 刷新令牌的生命周期由授权服务器(AS)决定-它们可能会过期、被吊销等。刷新令牌和访问令牌之间的差异在于受众:刷新令牌仅返回给授权服务器,而访问令牌则返回给资源服务器(RS)。来源