OAuth 2.0。 服务器如何验证access_tokens

Question

我有两个服务器，比方说A和B 服务器A将对用户进行身份验证并生成令牌。 现在在服务器B如何检查令牌是否有效？ 我是否必须每次都要经过服务器A来检查有效令牌？

我是否必须将令牌以及到期日期保存在服务器B ，并在服务器B上进行验证？

Answer 1

如果颁发访问令牌的服务器 （ 授权服务器 ）和提供受访问令牌保护的API的服务器（ 资源服务器 ）不同，则在一个简单的实现中，资源服务器每次验证授权时都必须与授权服务器进行通信。访问令牌。

RFC 7662 （OAuth 2.0令牌自省）定义了自省端点的规范，授权服务器为资源服务器提供自省端点的功能 ，以自省访问令牌。 由资源服务器托管的API的实现应调用自省端点以验证客户端应用程序提供的访问令牌。