क्या 'रीफ्रेश टोकन' की समयसीमा समाप्त हो जाती है और यदि ऐसा है तो?

Question

मैंने PODIO documentation पढ़ा है।

यह अनुरोध एक ही डेटा रिटर्न के रूप में ऊपर है, और आप जारी रख सकते हैं इस बार बार, आपके आवेदन बिना प्रमाणीकृत रखने के लिए: मैं विशेष रूप से निम्नलिखित बयान refresh_token के उपयोग के विषय पर विचार किया है उपयोगकर्ता को पुनः प्रमाणित करने के लिए कहने के लिए।

इसका मतलब यह है कि refresh_token अनिश्चित काल के लिए मान्य होगा या इसे समाप्त करता है: जारी किया जा रहा

1. एक्स दिनों के बाद; या
2. एक्स दिनों एक नया access_token

किसी भी मदद प्राप्त करने के लिए इसके बारे में पिछले उपयोग के बाद बहुत सराहना की जाएगी। TIA!

---

संपादित करें: कृपया इस PODIO Thread जो एक ही सवाल पूछता है लेकिन OAuth2.0 प्रोटोकॉल के Podio कार्यान्वयन के बारे में किसी भी निर्णायक जवाब देने के लिए प्रतीत नहीं होता है देखते हैं।

Answer 1

अपने प्रश्न

का जवाब क्या इसका अर्थ यह है कि refresh_token अनिश्चित काल के लिए मान्य होगा या इसे समाप्त करता है?

ओथ 2.0 विनिर्देश के section 1.5 और section 10.4 से निष्कर्ष निकाला जा सकता है।

धारा refresh_token कहा गया है कि 1.5 परिचय:

ताज़ा टोकन प्राधिकरण सर्वर द्वारा ग्राहक के लिए जारी किए जाते हैं और एक नया पहुँच टोकन प्राप्त करने के लिए जब वर्तमान पहुँच टोकन अमान्य हो जाता है या उपयोग किया जाता है समाप्त हो जाता है, या अतिरिक्त पहुंच प्राप्त करने के लिए टोकन समान या संक्षिप्त स्कोप (एक्सेस टोकन में कम जीवनकाल और संसाधन स्वामी द्वारा अधिकृत की तुलना में कम अनुमतियां हो सकती हैं)

refresh_token के लिए खंड 10.4 सुरक्षा संबंधी कहा गया है कि:

प्राधिकरण सर्वर चाहिए ताज़ा के बीच बंधन टोकन और ग्राहक पहचान जब भी ग्राहक पहचान प्रमाणीकृत किया जा सकता है की पुष्टि करें। जब ग्राहक प्रमाणीकरण संभव नहीं है, तो प्रमाणीकरण सर्वर को रीफ्रेश टोकन दुरुपयोग का पता लगाने के लिए अन्य साधनों को तैनात करना चाहिए।

उदाहरण के लिए, प्राधिकरण सर्वर ताज़ा टोकन
रोटेशन, जिसमें एक नया ताज़ा टोकन हर पहुँच
टोकन ताज़ा प्रतिक्रिया के साथ जारी किया जाता है रोजगार सकता है।पिछले रीफ्रेश टोकन को अमान्य कर दिया गया है लेकिन प्राधिकरण सर्वर द्वारा बनाए रखा गया है। एक ताज़ा टोकन
समझौता किया और बाद में दोनों हमलावर और
वैध ग्राहक द्वारा प्रयोग किया जाता है, तो उनमें से एक एक अवैध ताज़ा
टोकन, जो उल्लंघन के प्राधिकरण के सर्वर को सूचित करेंगे पेश करेंगे।

यह निष्कर्ष निकाला जा सकता है कि अगर authorization_server एक refresh_token और ग्राहक जिसे करने के लिए यह तो जारी किया गया था refresh_token कई access_token प्राप्त करने के लिए इस्तेमाल किया जा सकता है और समय सीमा समाप्त हो कभी नहीं होगा के बीच बंधन को सत्यापित करने में सक्षम है। अन्यथा प्राधिकरण सेवर पुराने refresh_token को अमान्य कर देगा और प्रत्येक एक्सेस टोकन रीफ्रेश प्रतिक्रिया के साथ नया refresh_token उत्पन्न करेगा।

Answer 2

रीफ्रेश टोकन उनकी रचना के बाद एक्स दिन (या घंटे) समाप्त हो जाएंगे। आपकी सुरक्षा आवश्यकताओं के आधार पर यह समाप्ति 1 महीने या 1 घंटा होगी।

आपको निर्णय को कुछ पहलुओं को कार्यक्षमता और सुरक्षा के रूप में लेने का निर्णय लेना है।

• आप सुरक्षा priorize का फैसला करते हैं, एक छोटी समाप्ति उपयोगकर्ता के लिए आपके आवेदन anoying बना सकता है।
• यदि आप कार्यक्षमता को प्राथमिकता देने का निर्णय लेते हैं, तो आपका आवेदन अधिक कमजोर हो सकता है।