授權代碼授予：當用戶不在時如何獲取訪問令牌？

Question

我想要求用戶只授權我的應用程序一次，然后即使他沒有連接執行自動操作，也可以使用他的憑據進行 DocuSign API 調用。

我目前正在使用授權代碼授予，但我該怎么做才能不再要求用戶對我的應用程序進行授權？

Answer 1

一個很好的問題。 這是一個答案：

1. 與用戶一起使用授權代碼時，除了范圍signature外，還包括范圍extended
2. 在用戶進行身份驗證並授予同意后，您的應用將收到一個訪問令牌（有效期為 8 小時）和一個刷新令牌（有效期為 30 天）。
3. 然后當您的應用程序需要使用 DocuSign API 時，使用訪問令牌（無論用戶是否在場）。 如果它不起作用，則使用刷新操作獲取新的訪問令牌（有效期為 8 小時）和新的刷新令牌（有效期為從刷新操作開始的 30 天）

結果：您的應用將始終能夠使用其當前的訪問令牌來代表用戶執行操作，或者將能夠獲取新的訪問令牌以供使用。

警告：您的應用程序需要至少每 30 天使用一次刷新操作，否則刷新令牌將過期。 在這種情況下，用戶將需要通過您的應用程序和授權代碼授予流程重新進行身份驗證。

極端情況：由於用戶可以隨時撤回同意，因此您的應用應該優雅地處理這種情況。

注意由於刷新令牌持續 30 天，您需要將它存儲在持久存儲（例如 DBMS）中，而不僅僅是在內存中。