OAuth2授予​​类型密码是撤销其他access_token

Question

我一直在尝试学习一些服务器端框架这些天。我不是oauth2的专家，但我曾经和一个团队一起使用api。他们使用资源所有者凭据授予给我一个访问权限，其中grant_type作为密码，client_id和client_secret。我可以同时登录多个浏览器。正如我已经尝试过帆js oauth 2和laravel护照oauth2。我很困惑。他们都使用grant_type密码撤销我的旧access_token。使用laravel护照并使用grant_type密码启动js oauth2。我一次只能在一台设备或浏览器上登录。我很困惑哪一个是正确的。

这是如何oauth2真的有效吗？你只能登录并使用一个访问令牌？

如果这是标准方式，则撤销旧的访问令牌。我应该使用什么类型的授权类型。所以我的多个设备可以同时登录？

Answer 1

行为---无论是否发布新的访问令牌都会使现有访问令牌无效---取决于OAuth 2.0服务器实现。 OAuth 2.0规范（RFC 6749）不会对行为施加任何限制。

实际上，某个OAuth 2.0服务器实现提供了一项功能，可以使服务器管理员配置该行为。以下是关于配置项目（“每个主题的单个访问令牌”）的描述屏幕截图。

所以，重要的不是grant_type，但您使用的是OAuth 2.0用户服务器上执行的政策。