【问题标题】：When should an OAuth authorization code expire?OAuth 授权码应该何时过期？
【发布时间】：2019-08-03 22:31:32
【问题描述】：

我知道（在 OAuth 中使用授权代码“授权代码”时），访问令牌的生命周期应该很短，但刷新令牌的生命周期可能很长。所以我决定我的项目：

但是，授权代码的典型生命周期是多少？我认为它应该非常非常短吗？也许像 1 小时甚至几分钟？

我找不到任何“最佳实践”。

【问题讨论】：

【解决方案1】：

所有这些都是标准的，但在大多数身份/身份验证服务器中都是可配置的。

授权码

当用户同意应用程序访问他们的数据时，他们会收到一个授权码。此代码通常只使用五分钟。低于此值的任何东西都可能会导致您出现时钟偏差问题，而且 IMO 确实没有理由让它更长。

访问令牌

在交换授权码后返回访问令牌。访问令牌。访问令牌通常只能使用 60 分钟。

刷新令牌是长期存在的令牌。以下是谷歌标准。

以上只是谷歌标准。在我工作的身份服务器上。我认为当前设置是一个月不使用刷新令牌过期。

【讨论】：

【解决方案2】：

刚刚在其他网站上找到了答案：

授权码必须在发出后不久过期。 OAuth 2.0 规范建议最长生命周期为 10 分钟，但实际上，大多数服务将过期时间设置得更短，大约 30-60 秒。

【讨论】：