OAuth 2.0。 服務器如何驗證access_tokens

Question

我有兩個服務器，比方說A和B 服務器A將對用戶進行身份驗證並生成令牌。 現在在服務器B如何檢查令牌是否有效？ 我是否必須每次都要經過服務器A來檢查有效令牌？

我是否必須將令牌以及到期日期保存在服務器B ，並在服務器B上進行驗證？

Answer 1

如果頒發訪問令牌的服務器 （ 授權服務器 ）和提供受訪問令牌保護的API的服務器（ 資源服務器 ）不同，則在一個簡單的實現中，資源服務器每次驗證授權時都必須與授權服務器進行通信。訪問令牌。

RFC 7662 （OAuth 2.0令牌自省）定義了自省端點的規范，授權服務器為資源服務器提供自省端點的功能 ，以自省訪問令牌。 由資源服務器托管的API的實現應調用自省端點以驗證客戶端應用程序提供的訪問令牌。