我是否使用刷新令牌？

Question

我有一个没有用户帐户的应用程序，因此不需要登录。我目前正在通过我的 api 中的 /get-token 端点使用 JWT 进行身份验证，该端点在 UI 启动后立即被调用并返回一个承载令牌，该令牌用于向前调用的调用/

当该令牌过期时，我对如何处理它有点困惑。我在考虑使用刷新令牌，但我看到的所有教程都将刷新令牌传递回 UI，这不是不安全吗？我一直认为刷新令牌是内部的，仅在服务器上用于刷新过期令牌。

处理此问题的最佳方法是什么？

Answer 1

刷新令牌携带获取新访问令牌所需的信息。换句话说，每当需要访问令牌来访问特定资源时，客户端都可以使用刷新令牌来获取由身份验证服务器颁发的新访问令牌。常见用例包括在旧访问令牌过期后获取新访问令牌，或首次访问新资源。刷新令牌也可以过期，但寿命相当长。 刷新令牌通常受到严格的存储要求，以确保它们不会泄露。它们也可以被授权服务器列入黑名单。