1. OAuth 2.0 刷新令牌基础：定义、作用与生命周期
1.1 刷新令牌的定义
刷新令牌（Refresh Token）是 OAuth 2.0 授权框架中一种特殊的凭据，用于在访问令牌（Access Token）过期后，无需用户重新交互即可获取新的访问令牌。它解决了短期令牌与长期会话之间的矛盾，是构建流畅用户体验的核心机制。
根据 RFC 6749 定义，刷新令牌具有以下关键特征：
- 非透明性：客户端通常不应解析刷新令牌的内容，仅将其作为不透明字符串存储和传递。
- 长期有效：生命周期远长于访问令牌（通常为数天、数周甚至更长）。
- 单次使用：授权服务器在颁发新令牌后，通常会废弃旧的刷新令牌（或实施轮换策略）。
- 范围约束：新颁发的访问令牌通常继承原始刷新令牌的授权范围，但可能更窄。
关键区分：访问令牌用于访问受保护资源（如 API），刷新令牌仅用于获取新的访问令牌，两者职责分离。
1.2 刷新令牌的作用
刷新令牌在 OAuth 2.0 流程中承担以下核心作用：
| 作用维度 | 具体说明 | 业务价值 |
|---|---|---|
| 延长会话 | 允许客户端在用户离线后持续访问资源 | 避免频繁登录，提升用户体验 |
| 减少交互 | 无需用户重新授权即可刷新令牌 | 支持后台任务、定时同步等场景 |
| 安全隔离 | 访问令牌短期有效，降低泄露风险 | 即使令牌泄露，攻击者窗口期有限 |
| 范围控制 | 刷新时可缩小或维持授权范围 | 支持细粒度权限管理 |
| 轮换策略 | 每次刷新颁发新刷新令牌，废弃旧令牌 | 防止刷新令牌泄露后的长期滥用 |
1.3 刷新令牌的生命周期
刷新令牌的生命周期包含四个关键阶段：颁发、存储、使用、失效。下图展示了完整的生命周期流转：
1.4 生命周期各阶段详解
1.4.1 颁发阶段
刷新令牌在以下授权流程中颁发：
- 授权码流程（Authorization Code）：用户授权后，授权服务器在令牌端点返回访问令牌的同时，附带刷新令牌。
- 密码流程（Resource Owner Password Credentials）：直接使用用户名密码换取令牌时，授权服务器可选择颁发刷新令牌。
- 客户端凭证流程（Client Credentials）：通常不颁发刷新令牌，因为客户端自身即可重新请求。
1.4.2 存储阶段
客户端必须安全存储刷新令牌，推荐策略如下：
| 客户端类型 | 推荐存储方式 | 风险说明 |
|---|---|---|
| Web 应用（后端） | 服务器端加密存储（数据库/缓存） | 防止 XSS 窃取 |
| 原生应用（移动端） | 系统密钥链（iOS Keychain / Android Keystore） | 防止应用沙箱外访问 |
| 单页应用（SPA） | 内存变量 + HttpOnly Cookie（BFF 模式） | 避免 localStorage 泄露 |
1.4.3 使用阶段
客户端通过以下请求使用刷新令牌：
POST /token HTTP/1.1
Host: auth.example.com
Content-Type: application/x-www-form-urlencoded
grant_type=refresh_token
&refresh_token=ab1c2d3e4f5g6h7i8j9k0l
&client_id=your_client_id
&client_secret=your_client_secret1.4.4 失效阶段
刷新令牌在以下情况下失效：
- 过期：达到预设的绝对过期时间（如 30 天）。
- 轮换：成功刷新后，旧刷新令牌被废弃，新令牌生效。
- 撤销：用户主动撤销授权或管理员强制失效。
- 安全事件：检测到异常使用模式（如地理位置突变）。
安全警示：刷新令牌泄露等同于长期访问权限泄露。务必实施刷新令牌轮换（Refresh Token Rotation）和重用检测（Reuse Detection）机制。
1.5 刷新令牌与访问令牌对比
| 对比维度 | 访问令牌（Access Token） | 刷新令牌（Refresh Token） |
|---|---|---|
| 用途 | 访问受保护资源（API） | 获取新的访问令牌 |
| 生命周期 | 短（通常 15 分钟 ~ 1 小时） | 长（通常数天 ~ 数月） |
| 传输频率 | 每次 API 请求 | 仅在令牌过期时 |
| 存储要求 | 可临时存储（内存/缓存） | 必须安全持久存储 |
| 泄露影响 | 短期窗口内可访问资源 | 长期窗口内可持续获取新令牌 |
| 轮换策略 | 不适用（每次重新颁发） | 推荐实施轮换 |
1.6 刷新令牌的典型使用场景
以下场景特别依赖刷新令牌机制：
- 移动应用后台同步：应用在后台定期刷新数据，无需用户解锁设备。
- Web 应用长期会话：用户关闭浏览器后，下次打开仍保持登录状态。
- 第三方 API 集成：服务间调用需要长期有效的访问凭据。
- IoT 设备：设备长时间运行，无法频繁要求用户重新授权。
核心要点：刷新令牌是 OAuth 2.0 中平衡安全性与用户体验的关键设计。理解其生命周期各阶段的行为，是后续错误码断言与故障定位的基础。