离线访问令牌现在支持过期和刷新

离线访问令牌现在可以选择在60分钟后过期，并附带一个刷新令牌。您可以使用刷新令牌获取新的离线访问令牌，而无需商户参与。此更新使我们的流程符合OAuth 2.0规范，并增强了安全性。

过期机制的工作原理

OAuth 授权您的应用代表商店执行操作。一旦商家批准您请求的作用域，您将收到令牌。

1. 引导商家完成 OAuth 流程并请求离线访问权限。
2. 我们提供：access_token 用于发起 API 请求的访问令牌 expires_in 访问令牌的生存时间（TTL），以秒为单位（3600 秒）refresh_token 用于请求具有更新 TTL 的新访问令牌的刷新令牌
   • access_token 用于发起 API 请求的访问令牌
   • expires_in 访问令牌的生存时间（TTL），以秒为单位（3600 秒）
   • refresh_token 用于请求具有更新 TTL 的新访问令牌的刷新令牌
3. 在访问令牌过期之前或之后，在令牌端点交换refresh_token以获取新的离线访问令牌。
4. 使用刷新响应返回的最新值更新存储的令牌。

有关具体参数、错误代码和重试指南，请参阅 OAuth 文档。

如何实现过期机制

• 安全地存储刷新令牌，因为它们是敏感凭据，可以生成新的访问令牌。请使用密钥管理器，在静态时进行加密，并限制访问权限。
• 要实现令牌过期机制，您需要：跟踪访问令牌的 60 分钟有效期。在令牌过期前几分钟主动刷新令牌，并在收到 401 响应时进行刷新。使用刷新响应中的最新值更新存储的令牌。移除代码中关于离线令牌永不过期的任何假设。
  • 跟踪访问令牌的 60 分钟有效期。
  • 在令牌过期前几分钟主动刷新令牌，并在收到 401 响应时进行刷新。
  • 使用刷新响应中的最新值更新存储的令牌。
  • 移除代码中关于离线令牌永不过期的任何假设。
• 监控日志和警报以检测令牌刷新失败，并在必要时重新进行 OAuth 授权。

迁移与兼容性

• 此更改为增量式：现有的永久离线令牌目前将继续正常工作。
• 适用于令牌交换和授权码授权类型。客户端凭证授权类型已支持通过略有不同的OAuth 2.0规范流程进行过期和刷新。