Azure v2.0 Refresh Token, возвращает другой токен Refresh

Question

Azure AD предоставляет токены доступа к моему приложению и токен обновления.Когда я использую токен обновления для получения нового токена доступа, взамен я получаю новый токен доступа и НОВЫЙ токен обновления.

Azure AD, как и Google Suite, не указывает, сколько разрешенных токенов обновления.Но в корне проблемы, я не хочу, чтобы токен обновления создавался и отправлялся обратно каждый раз, когда я использую токен обновления.Что здесь происходит?Как мне это остановить?

Answer 1

Вы не можете контролировать это, это сделано по замыслу.Он также соответствует спецификации OAuth 2.0 :

. Сервер авторизации аутентифицирует клиента и проверяет токен обновления, и, если он действителен, выдает новый токен доступа (и,опционально, новый токен обновления).

Что касается «плавания там», это происходит только в том случае, если вы заставите это произойти.Если ваше приложение «забывает» старый токен обновления, значит оно пропало.

Answer 2

Возвращение нового токена обновления является частью Спецификации протокола OpenID Connect , которая для ясности ссылается на раздел OAuth Authorization Framework 5.1 .

Действительно, возврат токена обновления не является обязательным, но реализация в Azure AD такова, что он всегда возвращает токен обновления.Я лично не вижу проблем с этим.Просто выбросьте последний сохраненный токен обновления и сохраните новый, полученный вами.