Обновление получает новый токен доступа у сервера авторизации. Токен обновления не служит более долгоживущей заменой токена, предъявляемого API.
Приложения и доступ к API
Токен обновления
Определение
Токен обновления — выданные клиенту учётные данные, по которым он получает новый токен доступа без повторного полного разрешения. Предъявляют его серверу авторизации, а не ресурсному серверу.
Также ищут: Refresh token · токен обновления OAuth · токен продления доступа
Зачем это знать
Обновление сохраняет разрешение в заданных границах. Клиент должен обрабатывать ротацию, повтор старого значения и отказ без произвольного расширения полномочий.
Связи из словаря
Карта понятия
Токен обновления
Доказательная часть
Что подтверждено
Токен обновления предъявляют серверу авторизации для получения нового токена доступа и не отправляют ресурсному серверу.
Граница применимости: Обновление токена в OAuth 2.0.
Для публичных клиентов актуальные рекомендации OAuth требуют привязать токен обновления к отправителю либо применять ротацию с обнаружением повторного использования.
Граница применимости: Защита токена обновления публичного клиента от повтора.
При обновлении запрошенный scope не должен включать полномочия, которые не были выданы первоначально. Токен обновления не является способом самостоятельно расширить доступ клиента.
Граница применимости: Запрос обновления по RFC 6749, раздел 6. Новое согласование доступа является отдельным процессом.
Сервер может вернуть новый токен обновления вместе с токеном доступа. Если новый токен обновления выдан, клиент должен отбросить прежнее значение и заменить его новым.
Граница применимости: Обработка ответа обновления по RFC 6749, раздел 6. Поддержка ротации и политика обнаружения повторов задаются сервером отдельно.
При повторе старого токена после ротации сервер видит нарушение цепочки, но по одному этому факту не определяет, какой из клиентов законный. Отзыв активной цепочки может потребовать нового получения разрешения, а клиент должен корректно обработать отказ.
Граница применимости: Редакторское объяснение обнаружения повтора по RFC 9700 и жизненного цикла обновления по RFC 6749; конкретная пользовательская процедура не задаётся.
Граница терминов
Не путать
Обновление продолжает разрешённый доступ, отзыв прекращает действие токена или связанного разрешения. Охват отзыва цепочки проверяют по политике сервера.
Перед спецификацией
Что проверить
- Отправляйте токен только серверу авторизации.
- Сверьте первоначально выданный scope.
- Не запрашивайте расширение через обновление.
- Замените старое значение, если выдано новое.
- Уточните ротацию или привязку для публичного клиента.
- Проверьте обработку повторов и отказов.
- Не считайте обнаруженный повтор доказательством личности атакующего.
Открытые основания
Первоисточники
- The OAuth 2.0 Authorization Framework
Определяет роли OAuth, authorization grants, access и refresh tokens, client types и основные grant flows.
- Best Current Practice for OAuth 2.0 Security
Актуализирует OAuth security: exact redirect matching, PKCE, sender-constrained tokens и безопасный refresh-token lifecycle.
- JSON Web Token Profile for OAuth 2.0 Access Tokens
Профилирует JWT access token: at+jwt type, required iss/exp/aud и resource-server validation, отличая его от ID Token.
- OAuth 2.0 Token Revocation
Определяет HTTPS revocation endpoint, обязательную поддержку revocation refresh token и возможную cascade policy.