質問: oauth v2にアクセスと更新の両方のトークンがあるのはなぜですか? ドラフトoauth 2.0プロトコルのセクション4.2は、承認サーバがaccess_token(リソースで自分自身を認証するために使用される)と、新しいrefresh_tokenを作成するために純粋に使用されるaccess_tokenの両方を返すことができることを示しています。 https://tools.ietf.org/html/rfc6749#section-4.2 なぜ両方がありますか? access_tokenをrefresh_tokenの長さだけ持ち続け、refresh_tokenを持たないようにするのはなぜですか。
回答: クライアントはさまざまな方法で侵害される可能性があります。例えば、携帯電話を複製することができます。アクセストークンの有効期限が切れると、クライアントは認証サーバーに対して再認証を余儀なくされます。再認証中に、認証サーバは他の特性をチェックできます(iowはアダプティブアクセス管理を実行します)。更新トークンはクライアントに再認証のみを許可します。ここで、re-authorizeがユーザーとの対話を強制し、多くのユーザーはそうしたくないと示唆しています。リフレッシュトークンは、通常のwebサイトが1時間程度経過した後に定期的にユーザーを再認証することを選択する場合がある場所と本質的に同じ場所に収まります(例:銀行のサイト)。ほとんどのソーシャルwebサイトはwebユーザーを再認証しないため、現在はあまり使用されていません。では、なぜクライアントを再認証するのでしょうか。