Rafraîchissez les jetons d'accès en toute sécurité

Utilisez un jeton de rafraîchissement lorsqu'un jeton d'accès expire et que l'autorisation du client est toujours valide. Le rafraîchissement ne montre pas d'écran de consentement. Il conserve le compte et la limite d'autorisation d'origine.

curl --fail-with-body "https://auth.shareai.now/oauth/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=refresh_token" \
  --data-urlencode "client_id=$SHAREAI_CLIENT_ID" \
  --data-urlencode "client_secret=$SHAREAI_CLIENT_SECRET" \
  --data-urlencode "refresh_token=$SHAREAI_REFRESH_TOKEN"

Stockez les deux remplacements ensemble#

1. Sérialisez les opérations de rafraîchissement pour la même autorisation client. Une demande d'application doit effectuer le rafraîchissement pendant que les autres attendent.
2. Échangez le jeton de rafraîchissement actuel une fois en utilisant la méthode d'authentification client configurée.
3. Enregistrez de manière atomique le jeton d'accès retourné, le jeton de rafraîchissement de remplacement et l'expiration.
4. Supprimez l'ancien jeton de rafraîchissement. Libérez les demandes en attente en utilisant le nouveau jeton d'accès.

Gérez les échecs#

Activé invalid_grant, effacez l'autorisation inutilisable et demandez au client de se reconnecter. Une erreur de service temporaire est différente d'un consentement révoqué : affichez un échec temporaire et maintenez un chemin de récupération limité. Ne bouclez jamais indéfiniment le rafraîchissement.

Demander une portée plus restreinte#

Une valeur scope optionnelle peut réduire les permissions. Elle ne peut pas ajouter surcharge à une autorisation limitée à l'identité. Utilisez la portée et l'expiration retournées comme autorité pour le nouveau jeton.

Prochaine étape#

Envoyez des requêtes de chat avec un jeton d'accès OAuth