为什么不用 accessToken 直接刷新 accessToken，而要用 refAccessToken 刷新 accessToken

[niuker]

oauth2.0 中。为什么不用 accessToken 直接刷新 accessToken，而要用 refAccessToken 刷新 accessToken ？

[CDuXZMAPgHp1q9ew]

怕 accessToken 泄露, 所以 accessToken 会过期, 如果用 accessToken 刷 accessToken, 那不是白搞了

[maichael]

accessToken 可以刷新 accessToken 的话，accessToken 不就永远不会过期么。

[niuker]

@maichael
如果是用 accessToken 刷 accessToken，刷回来的 accessToken 会变化，原来的 accessToken 还是会过期

[loveCoding]

顺着想法反推一下,那还刷新干嘛呢? accessToken 作为刷新凭证就是换汤不换药啊

[maichael]

@niuker #3

假设你家的锁是智能门锁，现在给了一个临时密码给我进去了，过了时间这个临时密码就过期了不能用了。

如果临时密码能够刷新临时密码了，那我的临时密码是不是就相当于不会过期了。

[pljhonglu]

accessToken 在传输的过程中可能泄漏

[momocraft]

定义两种 token 后：

oauth provider 一方：可以把权限管理和（用于资源的）权限验证分开
client 一方：在有选择时可以把 accesstoken 放较不安全设备上而不导致无限期的权限泄漏

[mydns]

拿旧密码去换新密码

[jswh]

accessToken 要交给客户端，refAccessToken 一般放在服务端

[zsdroid]

@niuker #3 我拿到 accessToken 的时候就已经去刷新到新的了，原来的 accessToken 过期没有我都不关心

[also24]

本来自己敲的，看了下 SF，觉得直接看回答就足够了：

https://stackoverflow.com/questions/3487991/why-does-oauth-v2-have-both-access-and-refresh-tokens

[matrix1010]

这个问题感觉看过很多遍了

[jorneyr]

我还真干了用 accessToken 刷新 accessToken 的蠢事, 就是为了前端不再次登录.

[xuanbg]

@jorneyr 何必多此一举，直接不过期就好了

[jorneyr]

@xuanbg 也不知道咋就脑子抽了没反应过来

[xgp]

@maichael 你这解释，我觉得不好。刷新密码必须在有效期内才能刷新，你拿临时密码可以在屋子里换新的临时密码，相当于你一直待屋子里，刷就刷呗有什么关系？一旦你离开了屋子，又过了有效期，密码就会失效，这完全是不同的情况