如何处理OAuth刷新令牌？

Question

当我在OAuth服务器上进行授权时，它会向我返回访问/刷新令牌：

access_token: "ZjJlMGM2MDcxNDg5MDQ1NzA4ZjkyNzRiOTIwM2E5MWI4N2M0MWU0ZD..."
expires_in: 3600
refresh_token: "NWZjMzQ3YjNjMmY5YTEzYzMxMDYzNGVhNzRiNjAxZTdmZTdjNzE3z..."
scope: null
token_type: "bearer"

如何在我的客户端javascript应用程序中使用它们？

1. 可以在cookie中保存访问令牌并刷新令牌吗？ （安全吗？-但是无论如何我都看不到其他可以存储它们的地方...）
2. 我可以请求受保护的资源，例如：/ api / user？access_token = TOKEN。 当我访问它们时，我确实可以成功获得受保护的数据。 但是，当此访问令牌过期时会发生什么？ 它会自动刷新还是我需要手动处理？
3. 为什么需要刷新令牌以及何时将其发送到服务器？

Answer 1

三足（User --- client ---- Oauthserver）

1）在三足式身份验证访问令牌中，令牌存储在客户端，并且永远不会转让给用户。

两足（用户---- Oauthserver）

在2腿身份验证中，令牌存储在用户端。 可能在cookie中。

2）当令牌过期时，用户必须明确地使用刷新令牌来获取新的身份验证令牌。

3）每个Auth令牌都有一个有效期，用户可以通过提供刷新令牌来获取新的有效Auth令牌，而无需使用用户名/密码来重新进行身份验证。