在 Datapower/API Connect [OAuth2] 中禁用一次刷新令牌？答案

【问题标题】：Disable one time use on refresh tokens in Datapower/API Connect [OAuth2]?在 Datapower/API Connect [OAuth2] 中禁用一次刷新令牌？
【发布时间】：2019-01-25 10:14:55
【问题描述】：

我们在 API Connect/Datapower 中开发了 OAuth/OIDC 服务。

当用户请求新的 refresh_token 时 - 如果流程中发生任何意外错误，则不会发出新的 refresh_token，并且他们现有的 refresh_token 会被撤销。这会强制用户通过新的同意流程。如果大量客户由于某些意外错误而受到影响，这可能会出现问题。我们希望旧的 refresh_token 在这种情况下仍然有效。

我们向 IBM 支持联系人提出了这个问题 - 他说这按预期工作（即 - 它应该撤销旧的 refresh_token 作为第一个操作 - 无论结果如何，它都是一次性使用的）。

他确实建议可以将 refresh_token 配置为多次使用，直到它被撤销/过期。

我不确定如何执行此操作 - 或者它支持哪些版本。他说“（在 2018.4.1.x 中）？对于 v5 gw，请使用扩展来启用它，您将需要最新的 DP 固件版本才能实现上述功能。很难弄清楚这一点。 IBM 开发者论坛甚至将我引向 Stack Overflow...

有没有人有更多关于启用 refresh_token 多次使用的信息/经验？或者支持哪些版本（或任何有关此的文档的链接）？我正在努力寻找任何具体的内容。

谢谢

【问题讨论】：

标签： oauth oauth-2.0 ibm-datapower apiconnect apic

【解决方案1】：

我想他说的是 count 配置。它位于启用刷新令牌的正下方。

“OAuth 2”部分 -> 令牌 -> 启用刷新令牌 -> 计数

希望这会有所帮助

【讨论】：

感谢您的回复 - 但我认为此设置是指您可以从刷新令牌中请求新访问令牌的次数，这与我们的问题不同。干杯。

【解决方案2】：

对于 IBM API Connect 版本 2018.4.1，您可以指定 OAuth 提供者的刷新令牌是否为一次性使用。

请参阅 OAuth 本机提供程序>令牌屏幕。

【讨论】：

干杯 - 这听起来正是我需要的谢谢 - 版本和设置。我投了赞成票（即使它没有显示）。谢谢+1

【解决方案3】：

访问令牌过期后，如果在 OAuth 提供程序 API 中启用该选项，则应用程序可以使用刷新令牌。每个刷新令牌在发出后的大约 31 天内有效，并且只能使用一次来请求新的访问令牌。除了新的访问令牌，还会返回一个新的刷新令牌。

【讨论】：