Erişim token’ları bilerek kısa ömürlüdür; çalınan bir token yalnızca kısa bir süre işe yarar. Refresh token daha uzun yaşayan karşılığıdır: istemci onu saklar, kaynak sunucularına hiç göndermez ve yeni bir erişim token’ına ihtiyaç duyduğunda yalnızca yetkilendirme sunucusuna sunar.
Bir API erişim token’ının süresi dolduğu için 401 döndüğünde — ya da dolmadan hemen önce — istemci token uç noktasına grant_type=refresh_token POST eder ve yeni bir erişim token’ı alır; çoğu zaman eskisinin yerini alan yeni bir refresh token da gelir (rotasyon). Döndürülmüş bir refresh token’ın yeniden kullanılması çalınma işaretidir ve iyi tasarlanmış sunucular o zaman tüm zinciri iptal eder.
Her 401’de yenilemenin doğru olduğu sanılır. İptal edilmiş ya da geçersiz bir token yüzünden gelen 401, yenilemeden sonra da başarısız olur; sınırsızca yenileyip yeniden deneyen bir istemci, oturum kapatmayı sonsuz bir döngüye çevirir. Bir kez yenileyin, bir kez yeniden deneyin, o da olmazsa kullanıcıyı girişe gönderin.
POST /auth/v1/oauth/token authorization code akışında bir refresh token verir ve yeni erişim token’ı almak için o refreshToken ile grantType refresh_token kabul eder. Buradaki erişim token’ları 15 saniyede dolar, yani yenileme yoluna çabuk ulaşılır.
Tüm sözlük maddeleri · Test teknikleri · 39 mock REST API’nin tamamı
Son güncelleme