Box v2 API 中 refresh_token 的 Oauth 2.0 有效性答案

【问题标题】：Oauth 2.0 validity of refresh_token in Box v2 APIBox v2 API 中 refresh_token 的 Oauth 2.0 有效性
【发布时间】：2012-12-05 06:56:23
【问题描述】：

oauth 文档说
每个 access_token 的有效期为 1 小时，每个刷新令牌的有效期为 14 天。要使用 refresh_token 获取新的 access_token，请向 https://api.box.com/oauth2/token 发出 POST 请求

在此响应中，您将同时收到一个新的 access_token 和 refresh_token。您用于发出此请求的 refresh_token 不再有效。

问题： 1) 如果偶然我无法存储这个新的 refresh_token，那么旧的 refresh_token 会失效吗？

2) 不能有一直有效的刷新令牌，我们只生成access_token吗？

【问题讨论】：

【解决方案1】：

实际上，我们只是对此进行了更改，以便在您使用新的访问令牌之前不会删除您的旧刷新令牌。

【讨论】：

【解决方案2】：

是的，当一个新的refresh_token被创建时，之前的就失效了。
OAuth 2 规范的一部分包括使旧的 refresh_tokens 失效以换取新的。这不是最引人入胜的读物，但您可以在这里看到所有内容：https://datatracker.ietf.org/doc/html/draft-ietf-oauth-v2-31

【讨论】：