令牌过期后的部分认证

Question

我对Oauth还是相当陌生，我想知道是否任何Oauth流都支持特定的流。 我希望能够识别用户并允许该用户执行不安全的操作，即使他们的令牌已过期也是如此。 仅当用户请求执行安全操作时，才被迫重新认证。 我目前看不到有任何流程可以支持这一点。

我想到了以下使用刷新令牌的解决方案，但不确定是否有可能违反任何oauth模式或是否有更好的方法。

1）发出X时间段的访问令牌。 可以说2个小时。 2）令牌到期后，将使用刷新令牌来获取新的访问令牌。 新令牌将包含一个声明，该声明标识用户仅具有不安全的访问权限。 3）如果请求了安全资源，则将使用401响应代码拒绝该请求，该响应代码指示令牌无效。 4）为了接收新的访问令牌，应用程序将要求用户提供凭据。

有什么想法吗？

Answer 1

这实际上取决于资源服务器与客户端之间的交互，当然还要取决于标准OAuth 2.0的范围。 OAuth 2.0唯一标准化的交互方式就是访问令牌的显示方式。 所有其他行为由应用程序实现者决定。

资源服务器将允许访问不安全的资源/操作，而不管访问令牌的有效性如何，甚至根本没有提供访问令牌。 只有在访问安全资源时，流程才会如您所描述的那样。

我看不出产生标识“不安全访问”的访问令牌的价值。 该令牌将具有与过期令牌相同的语义，或者根本没有令牌，因此不需要访问令牌来涵盖这种情况。