这是一个创建于 1050 天前的主题，其中的信息可能已经有所发展或是发生改变。
我知道 refresh token 主要用于无感知的获取新的 access token ，但没有看到关于 refresh token 刷新的介绍，都是说 refresh token 过期后，需要用户重新登录。比如说我的 refresh token 过期时间设置为 7 天，那么也就是说不管怎样使用，客户每 7 天都必需要登录一次。
但实际中，我们发现很少有这种情况。只要你天天使用，基本不会让你重新登录 那这些网站或 app 是如何做的呢？它们是有一套 refresh token 刷新机制还是其它的方法？
 | 1 rebang 2023-01-31 10:56:38 +08:00  1 在使用 refresh token 刷新的同时，会返回一个新的 refresh token |
 | 2 andrew2558 OP @sunhuawei 你的意思是指 Access token 每次刷新的同时，也刷新 refresh token 并重新设置 refresh token 的过期时间吗？ |
 | 3 Tyaqing 2023-01-31 11:03:22 +08:00 1 第一个问题是网站大多数还是使用 cookie 来记录登录,jwt 也是一样,可以放在 cookie 里面,一般时长都会很大,并且访问会自动续期. 第二个问题.refresh token 和 token 都是需要服务端存储的,鉴定和刷新是一套机制,并且有一个 jwt 规范你可以参考一下 https://www.rfc-editor.org/rfc/rfc7519 |
 | 4 ttwxdly 2023-01-31 11:04:14 +08:00 1 每次 refresh 后会返回新的 refresh token ，refresh token 的生命周期要比 access token 长。 refresh token 也可以做成重复使用的，但是不推荐。 |
 | 5 0xC000009F 2023-01-31 11:05:12 +08:00 1 如果用的是 Spring Security 的话 AuthorizationServerEndpointsConfigurer.reuseRefreshTokens 可以配置刷新 access token 的时候可以同时刷新 refresh token |
 | 6 andrew2558 OP 谢谢大家的回答，大家好像说的都是在刷新 access token 时同时更新 refresh token,这里就要一个问题了，如果 refresh token 存储在数据库，那么每次刷新 access token （时间相对较短）也同时刷新 refresh token,那么无疑对服务器是一个很大的开销。 |
 | 7 iX8NEGGn 2023-01-31 12:09:04 +08:00 via iPhone 1 @andrew2558 不是，token 是无状态的，干嘛要存服务端？ |
 | 8 LeegoYih 2023-01-31 12:14:59 +08:00 1 简单做法，每次获取 session 的时候给 access token 续期 |
 | 9 SethShi 2023-01-31 12:53:37 +08:00 1 1. access_token 过期七天才对, refresh_token 一般没这么短. 2. 刷新 token 一般不会刷新 refresh_token, 刷新的是 access_token(需要用 refresh_token 刷新) 3. 你完成可以把 refresh_token 设置为按年为单位的(只有当 access_token 过期才会在接口中传递 refresh_token, 所以比 access_token 安全, 完全可以设置有效期久一点). |
 | 10 theqiang 2023-01-31 14:00:14 +08:00 1 OP 是不是对 token 有点误解，应该不用存 db 的吧 |
 | 11 centralpark 2023-01-31 14:05:23 +08:00 1 如果用 uuid 这种随机数做 token ，那肯定需要存到数据库，保留有效期和用户 ID 等数据。如果用 jwt 这类使用私钥签名的数据做 token ，那就不需要存出到数据库了，服务端不查库，拿私钥解析出来其中的数据即可。 |
| 12 andrew2558 OP |
| 13 iX8NEGGn 2023-01-31 14:16:59 +08:00 @centralpark @andrew2558 Token 这个术语不就是为了和 Session 区分开吗，如果服务端要维护状态那就叫 Session ，而不应该把它归类为 Token 的一种，这就 内存 和 外存 一样，发明这两个术语就是为了做区分，而有的人把 内存 叫做 运行内存，把 外存 叫做 储存内存，我很厌恶这种方式。 |
| 14 andrew2558 OP @andrew2558 是的，这里指的 refresh token 并不是严格意义上的 jwt, 可以是一个自定义算法生成的字符串 |
| 15 andrew2558 OP @iX8NEGGn 楼上 @错了 |
| 16 iX8NEGGn 2023-01-31 14:27:15 +08:00 @centralpark @andrew2558 好吧，久不接触，理解错了，我好像 Token 把 JWT Token 搞混了 |
 | 17 giter 2023-01-31 14:31:07 +08:00 1 accessToken 存用户本地，refreshToken 可以存 Redis 中。accessToken 过期时间很短，refreshToken 过期时间很长。 如果 accessToken 过期而 refreshToken 没有过期，则生成新的 accessToken 发给用户； 如果 accessToken 与 refreshToken 双双过期，则让用户重新登录。 |
Select Language