【发布时间】：2016-09-24 07:04:12
【问题描述】：
Oauth2 引入了使用过期访问令牌和未过期（或长期）刷新令牌来访问新访问令牌的想法。
这个额外的安全层是有成本的（后端和前端）。这项措施的好处是否超过了成本？
如果您计划通过 http 部署 API，这听起来是一个不错的过程，但是当您使用 SSL (TLS) 时它仍然有用吗？
我在互联网上对这个问题的所有研究都以某种方式指出“如果攻击者窃取了您未过期的访问令牌......”，但是等等，不，没有人无法对我的令牌进行中间操作，因为它是通过 HTTPS。
那么我们是否信任 HTTPS，而这一切都是矫枉过正的教条，还是有任何其他理由担心我的用户令牌可能被盗？
【问题讨论】：
标签： api security ssl oauth-2.0 access-token