Zugriffstoken sind bewusst kurzlebig, daher ist ein gestohlenes Token nur kurzfristig nützlich. Ein Aktualisierungstoken hingegen ist länger gültig: Der Client speichert es, sendet es niemals an Ressourcenserver und übermittelt es ausschließlich dem Autorisierungsserver, wenn ein neues Zugriffstoken benötigt wird.
Wenn eine API mit dem Fehlercode 401 antwortet, weil das Zugriffstoken abgelaufen ist – oder kurz davor –, sendet der Client eine POST-Anfrage mit dem Parameter `grant_type=refresh_token` an den Token-Endpunkt und erhält ein neues Zugriffstoken, oft zusammen mit einem neuen Aktualisierungstoken, das das alte ersetzt (Rotation). Die Wiederverwendung eines bereits verwendeten Aktualisierungstokens ist ein Hinweis auf Diebstahl, und gut konzipierte Server widerrufen daraufhin die gesamte Tokenkette.
Das Aktualisieren bei jedem 401-Fehler ist korrekt. Ein 401-Fehler aufgrund eines widerrufenen oder ungültigen Tokens schlägt auch nach einer Aktualisierung fehl; ein Client, der unbegrenzt aktualisiert und es erneut versucht, führt zu einer Endlosschleife beim Abmelden. Aktualisieren Sie die Seite einmal, versuchen Sie es einmal erneut und leiten Sie den Benutzer zur Anmeldung weiter, falls dies fehlschlägt.
POST /auth/v1/oauth/token stellt im Autorisierungscode-Flow ein Aktualisierungstoken aus und akzeptiert den grantType refresh_token mit diesem Aktualisierungstoken, um ein neues Zugriffstoken zu erhalten. Zugriffstoken laufen hier nach 15 Sekunden ab, sodass der Aktualisierungspfad schnell erreicht wird.
Diese Seite auf Englisch lesen
Alle Glossarbegriffe · Testtechniken · Alle 39 Mock-REST-APIs
Zuletzt aktualisiert