OAuth 2.0. 서버가 access_tokens의 유효성을 검사하는 방법

Question

두 대의 서버가 있다고 가정하면 A 및 B입니다. 서버 A은 사용자를 인증하고 토큰을 생성합니다. 현재 서버에 B 토큰이 유효한지 어떻게 확인합니까? 유효한 토큰을 확인할 때마다 매번 A 서버를 통과해야합니까?

유효 기간과 함께 토큰을 서버 B에 저장하고 서버 B의 유효성을 검사해야합니까? 액세스 토큰 (AN 권한 서버) 및 액세스 토큰 (a 리소스 서버)에 의해 보호되는 API를 제공하는 서버를 발행 서버가 다른 경우

Answer 1

간단한 구현에서, 리소스 서버와 통신하는 액세스 서 v의 유효성을 확인할 때마다 권한 서 v.

RFC 7662은 (OAuth는 2.0 토큰 반성) 인증 서버는 액세스 토큰을 자세히 관찰 자원 서버를 제공 내성 끝점의 사양을 정의한다. 리소스 서버가 호스팅하는 API 구현은 클라이언트 응용 프로그램에서 제공하는 액세스 토큰의 유효성을 검사하기 위해 내부 검토 끝점을 호출해야합니다.