Qual é o propósito de uma "lembrança"?

Tenho um programa que se integra com a API de Streaming ao vivo do YouTube. Ele funciona em temporizadores, então foi relativamente fácil para mim programar para obter um novo Token de acesso a cada 50 minutos com um Token de atualização. A minha pergunta é, porquê?

Quando me autentiquei com o YouTube, dei-me uma lembrança. Eu então uso este token refresh para obter um Token de acesso Novo cerca de uma vez por hora. Se eu tiver o Token Refresh, eu posso sempre usar isso para obter um Token de Acesso novo, uma vez que ele nunca expira. Então Eu ... não vejo como isto é mais seguro do que apenas dar-me um Token de acesso desde o início e não se preocupar com todo o sistema de Token Refresh.

Author: Jason Axelrod, 2016-08-17
Source

1 answers

Basicamente, os tokens de actualização são usados para obter um novo item de acesso.

Para diferenciar claramente estes dois tokens e evitar confundir-se, aqui estão as suas funções dadas em O Quadro de autorização do OAuth 2.0:

  • Os tokens de Acesso são emitidos a clientes de terceiros por um servidor de autorização com a aprovação do proprietário do recurso. O cliente usa o token de Acesso para acessar os recursos protegidos hospedados pelo servidor de recursos.
  • Os Tokens de actualização são credenciais usadas para obter tokens de acesso. Os tokens de atualização são emitidos para o cliente pelo servidor de autorização e são usados para obter um novo token de acesso quando o token de acesso atual se torna inválido ou expira, ou para obter tokens de acesso adicionais com escopo idêntico ou mais estreito.
Agora, para responder à sua pergunta sobre o porquê de ainda estar a receber uma ficha de actualização, em vez de apenas garantir uma ficha de acesso, a principal razão fornecida pela A Task Force de Engenharia da Internet em fichas de actualização é:

Existe uma razão de segurança, o {[[0]} só é trocado com o servidor de autorização, enquanto o access_token é trocado com os servidores de recursos. Isto reduz o risco de um access_token de longa duração vazar no "token de acesso bom por uma hora, com um token de atualização bom por um ano ou bom-till-revogado" vs "um token de acesso bom-till-revogado sem um token de atualização."

Para uma informação mais detalhada e informações completas sobre o fluxo de OAuth 2.0, Por favor tente passar pelas seguintes referências:

 11
Author: Teyam, 2017-05-23 12:33:05