В протоколе OAuth2 используются два вида токенов:
- access_token: Предоставляется сервером авторизации, используется серверами ресурсов для определения, следует ли предоставить доступ к ресурсу
Цель этого разделения - включить масштабируемость:
- серверы ресурсов могут проверять токены доступабез согласования с серверами авторизации
- серверы авторизации используются только для предоставления access_tokens
- серверы ресурсов могут реализовывать немедленный отзыв access_token с обратными списками, но из-за истечения срока действия access_token этот список не должен расти бесконечно
Различные роли этих токенов ясны, но мне интересно узнать причину, по которой эти роли были заключены в два отдельных физических токена. Можно ли поместить всю информацию в один токен, который можно использовать как в качестве маркера доступа, так и токена обновления?
Аналогом может быть процесс обновления ID-карты. Вы можете использовать свою удостоверение личности с истекающим сроком действия для продления, для этого не нужно иметь другую карту.