使用访问令牌和刷新令牌来刷新它们

Question

正在研究如何使用 JWT 并发现对我来说并不明显：为什么刷新访问令牌不同时使用访问和刷新令牌而只使用刷新令牌？

在这种情况下，我们将能够：

1. 验证访问令牌签名，即使它已过期。
2. 从有效负载中获取访问令牌信息，这可能有助于在数据库中查找刷新令牌。

Answer 1

你的问题有点不清楚，并且假设了一些可能不正确的事情。 访问令牌和刷新令牌都不必是 JWT，而且 JWT 并非特定于 OAuth2（它定义了访问和刷新令牌，但没有说明它们应该如何实现）。

访问令牌和刷新令牌的受众也不同 - 访问令牌被发送到（可能是单独的）资源服务器（如果它们是自包含的，发布授权服务器甚至可能没有保留副本）。 刷新令牌被发送到授权服务器。

在数据库中定位任一类型的令牌（假设它们不是像 JWT 那样的自包含令牌）应该永远不会成为问题，因为它们应该是唯一的令牌，可以成为数据库表的理想主键。 因此，没有理由将过期的访问令牌作为刷新请求的一部分发送。

顺便说一下，欢迎使用 Stack Overflow :)。