Почему нам даже нужно обновлять токены через HTTPS?

Question

Oauth2 представляет идею истечения токена доступа и не истекающих (или долгосрочных) токенов обновления, используемых для доступа к новому токену доступа.

Этот дополнительный уровень безопасности имеет стоимость (бэкэнд, а также интерфейс). Является ли преимущество этой меры чрезмерной массой расходов?

Ну, это похоже на хороший процесс, если вы планируете развернуть свой API через http, но все же полезно использовать SSL (TLS)?

Все мои исследования по этому вопросу в Интернете как-то указывали на «если злоумышленник крадет ваш нелетущий токен доступа ...», но подождите, нет, никто не сможет обработать мой токен средним образом, потому что это над HTTPS.

Итак, мы доверяем HTTPS, и все это является догмой overkill, или есть ли другая причина беспокоиться о том, что токен моего пользователя может быть украден?

Answer 1

Речь идет не столько о смягчении потери токена, сколько о возможности применения политик доступа при запросе нового токена в центральном месте.

Помните, что токен обновления используется только на сервере авторизации, чтобы получить новый токен доступа, и в этот момент сервер авторизации может применять эти централизованные политики, тогда как токен доступа используется на сервере ресурсов, который содержит защищенные Ресурсы.

См.: what's the point of refresh token?