ritouです。 今日は OAuth 2.0 の話題で少し頭の体操をしましょう。 いきなりまとめ 今回は OAuth 2.0 の Refresh Token を用いて非同期の処理を実装するケースはよくある "Refresh Tokenの有効期限がない=無効化されない" という前提の設計を見かけるが、よくないと思う 無限に有効な Refresh Token が必要になりそうな機能は Client Credentials Grant に持っていくのも一つの手では みたいな話をします。 OAuth 2.0 の Refresh Token 仕様の参照とかはめんどいのでざっくりまとめると Access Token を更新するために利用されるトークン Resource Owner が介入しない非同期なタイミングでも利用される場合がある 有効期限切れや AuthZ Server / Resource O
![OAuth 2.0 で有効期限がない(ずっと先の) Refresh Token の扱いについて](https://cdn-ak-scissors.b.st-hatena.com/image/square/caf8d537b2427a5e543f07104d1bfe3c75aa5af1/height=288;version=1;width=512/https%3A%2F%2Fres.cloudinary.com%2Fzenn%2Fimage%2Fupload%2Fs--EWOaj8-d--%2Fc_fit%252Cg_north_west%252Cl_text%3Anotosansjp-medium.otf_55%3AOAuth%2525202.0%252520%2525E3%252581%2525A7%2525E6%25259C%252589%2525E5%25258A%2525B9%2525E6%25259C%25259F%2525E9%252599%252590%2525E3%252581%25258C%2525E3%252581%2525AA%2525E3%252581%252584%252528%2525E3%252581%25259A%2525E3%252581%2525A3%2525E3%252581%2525A8%2525E5%252585%252588%2525E3%252581%2525AE%252529%252520Refresh%252520Token%252520%2525E3%252581%2525AE%2525E6%252589%2525B1%2525E3%252581%252584%2525E3%252581%2525AB%2525E3%252581%2525A4%2525E3%252581%252584%2525E3%252581%2525A6%252Cw_1010%252Cx_90%252Cy_100%2Fg_south_west%252Cl_text%3Anotosansjp-medium.otf_37%3Aritou%252Cx_203%252Cy_121%2Fg_south_west%252Ch_90%252Cl_fetch%3AaHR0cHM6Ly9saDMuZ29vZ2xldXNlcmNvbnRlbnQuY29tL2EtL0FPaDE0R2pRX2Zjd3NJUms2TGFsYm5qQ0hXeldmazdCa1l2WDlYQWtaUDhiOFE9czI1MC1j%252Cr_max%252Cw_90%252Cx_87%252Cy_95%2Fv1627283836%2Fdefault%2Fog-base-w1200-v2.png)