重复OAuth 2访问令牌请求的预期行为

Question

我正在为应用程序实现OAuth 2，并且在重复成功的令牌请求时，我找不到specification中的预期行为。

我的问题是：

当一个成功的请求重复

• 应该把它作为前返回相同的承载令牌？
• 或者它应该返回一个新的令牌并使之前失效？
• 或者它应该返回一个新的令牌吗？所以你可以通过这两个令牌来授权。

我看到twitter implementation返回相同的标记，但是这是根据规范吗？

Answer 1

预期的行为是授权服务器返回一个新的访问令牌。授权服务器可能会根据它所维护的安全策略使先前的访问令牌失效，并不要求这样做。访问令牌应该是短暂的，并且只有当旧的令牌过期或即将到期时才应请求新的访问令牌。除此之外：不记名令牌的格式可以是这样的（例如，独立的JWT），它甚至不能被撤销。