我知道 concept and purpose

让我们假设一个具有基本令牌响应的登录端点:

http://acme.com/login

{
    "access_token": "AYjcyMzY3ZDhiNmJkNTY",
    "refresh_token": "RjY2NjM5NzA2OWJjuE7c",
    "expires_in": 3600
}

这两个令牌都是由安全服务器使用其算法(secret和claims)生成的

因此,当access_令牌过期时,我需要使用诸如

http://acme.com/oauth/token

发送刷新令牌

假设这些令牌具有不同的字符串值和不同的过期时间,但是它们是用相同的 秘密、主张或算法

我需要在安全服务器后端实现刷新令牌生成和验证。

如何区分访问令牌和刷新令牌?

当前解决方法

添加额外的索赔(例如 type=刷新 )仅用于刷新令牌,因此当我在安全服务器中接收到令牌字符串并对其进行解码时,此声明有助于确定接收到的字符串是否是刷新令牌而不是访问令牌。