Azure v2.0 Refresh Token，返回另一个 Refresh Token

Question

Azure AD 正在授予我的应用程序访问令牌和刷新令牌。当我使用刷新令牌获取新的访问令牌时，作为回报，我得到一个新的访问令牌和一个新的刷新令牌。

Azure AD 没有像 Google Suite 那样指定允许多少刷新令牌。但对于问题的根源，我不希望每次使用刷新令牌时都重新创建并发回刷新令牌。这里发生了什么？我该如何阻止这种情况？

Answer 1

返回新的刷新令牌是 OpenID Connect Protocol Specification 的一部分，为了清楚起见，它引用了 OAuth Authorization Framework section 5.1。

确实，刷新令牌的返回是可选的，但 Azure AD 中的实现是它始终返回刷新令牌。我个人认为没有问题。只需丢弃上次保存的刷新令牌并保留您获得的新令牌即可。

Answer 2

这是您无法控制的，这是设计使然。它也符合OAuth 2.0 spec：

授权服务器对客户端进行身份验证并验证刷新令牌，如果有效，则发出一个新的访问令牌（以及，可选地，一个新的刷新令牌）。

至于“漂浮在那里”，这只有在你让发生时才会发生。如果您的应用“忘记”旧的刷新令牌，那么它就消失了。