Refresh-Token

Problem

Access-Tokens sollten schnell ablaufen, um den Schaden zu begrenzen, wenn sie gestohlen werden. Benutzer sollen trotz kurzer Token-Laufzeiten über längere Zeit angemeldet bleiben können.

Lösung — Refresh-Token

Ein längerlebiger Anmeldenachweis kann verwendet werden, um neue Zugangstoken zu erhalten.

Refresh-Token
     ↓
Autorisierungsserver
     ↓
Neuer Access-Token

Es ist sorgfältiger geschützt und wird normalerweise nicht an Ressourcen-APIs gesendet.

Kerngedanke: Refresh-Token ermöglichen kurzlebige Zugriffstoken ohne ständige Benutzerauthentifizierung.