OAuth2：“auth_time”声明是否与刷新令牌到期相关？

Question

如果我知道我的身份验证提供者将刷新令牌设置为在十二小时后过期，并且我已经通过身份验证并且我的auth_time声明显示为今天上午 9 点，我可以安全地假设我的刷新令牌将在今晚晚上 9 点过期吗？ 或者auth_time和 refresh 令牌发行/到期是否相互独立？

Answer 1

这取决于身份验证提供程序，但在某些提供程序中，您可以在不同的令牌（id/access/refresh）上设置不同的过期时间。 还有一些支持绝对或滑动到期时间。

可以在此处找到 IdentityServer 的示例过期配置选项以获得灵感。