Я разрабатываю проект, который включает в себя весенний oauth2. Я разработал код для сервера авторизации, а также сервера ресурсов. Я могу получить доступ к токену из / oauth / token api.
У меня есть вопрос, я прочитал в inte rnet о refre sh token.
Предположим, у меня есть клиент, который запрашивает доступ к любому защищенному ресурсу на сервере. И токен доступа истек. Затем, как я должен дать ему доступ к защищенному ресурсу через refre sh token.
Поток кода:
client->resource: auth_token
resource->token_api: check token
token_api->resource: token expire
Отсюда, 2 подхода, которые я придумаю:
1)
resource->client: token expire response
client->token_api: refresh_token
token_api->client: new access token + refresh token
client->resource: access_token
resource->client: protected resource response
2) по истечении срока действия токена,
resource->token_api: generate new token
и тот же поток следует ..
Какому объекту я должен делегировать ответственность за генерацию нового токена, клиента или resource_api (через token_api и ответ клиенту и клиенту снова попал в ресурс API с обновленным токеном).
И мой сервер ресурсов, и сервер auth_server являются приложениями с начальной загрузкой.