Oauth2.0的refresh token的接口如何实现？

Question

问题描述Oauth2.0中当access_token过期后可以用之前获取到的refresh_token来重新申请令牌，现在的问题是不知道认证服务器是如何根据refresh_token来重新给客户端发放令牌的。问题出现的环境背景及自己尝试过哪些方法查阅了一些资料，感觉实现方式多样化，认证服务器的refresh的接口返回的数据主要有以下几种：1、返回全新的access_token和refresh_token。2、返回新的access_token，但是refresh_token是旧的。（可能是旧的refresh_token的过期时间会更新）3、返回旧的access_token和旧的refresh_token。(个人感觉是因为更新了过期时间，所以之前的access_token还可以用了)你期待的结果是什么？实际看到的错误信息又是什么？我个人感觉前两种本质差不多，第三种都是旧的只更新时间不太好。请大神指教以上几种方式哪种更好一点？或者说有更好的实现方式？

Answer 1

个人建议第一种，毕竟你不知道用户会不会不小心让别人知道了 refresh_toekn，那么在2,3情况下显然会很危险。