Jetons d’actualisation et portées
Découvrez les jetons d’actualisation, qui permettent d’obtenir de nouveaux jetons d’accès sans nouvelle authentification, ainsi que le rôle des portées dans la définition des autorisations d’accès.
Jetons d’actualisation et portées est une leçon OAuth2 & OpenID Connect Deep Dive gratuite sur CoddyKit. Ceci est la leçon 2 sur 4. Tu peux lire la leçon complète ci-dessous gratuitement — puis la pratiquer en direct dans le navigateur avec un éditeur de code intégré et un tuteur IA 24/7. Elle fait partie du parcours d'apprentissage OAuth2 & OpenID Connect Deep Dive, et ta progression se synchronise sur le web et l'application CoddyKit. Le cours OAuth2 & OpenID Connect Deep Dive comprend 4 leçons au total.
Certaines parties de cette leçon n'ont pas encore été traduites et s'affichent en anglais.
Keep Your Apps Authorized
Imagine using an app that needs to access your online photos. It gets permission, but what if that permission expires after just an hour?
You'd have to log in again and grant permission every single time! That's not a great user experience, is it?
The Short Life of Access Tokens
Access tokens are like temporary keys. They grant access to specific resources (like your photos) for a short time, often minutes or hours.
This short lifespan is a crucial security feature. If an access token is stolen, an attacker has a limited window to use it, reducing potential damage.
Introducing Refresh Tokens
To solve the constant re-login problem, OAuth2 uses refresh tokens. Think of them as a special, long-term key.
An application uses a refresh token to quietly request a brand new access token from the Authorization Server without needing you to re-enter your credentials.
The Refresh Process
When your access token expires, the client application sends its refresh token to the Authorization Server. This happens in the background.
If the refresh token is valid, the server issues a new access token (and sometimes a new refresh token too!). Your app continues working seamlessly.
public class RefreshExample {
public static void main(String[] args) {
System.out.println("1. Access token expires.");
System.out.println("2. Client sends refresh token.");
System.out.println("3. Authorization Server validates.");
System.out.println("4. New access token issued.");
System.out.println("5. App continues without re-login.");
}
}Protecting Refresh Tokens
Since refresh tokens can grant new access tokens, they are very powerful and must be protected carefully. They are more sensitive than access tokens.
- Store securely: Encrypt them or keep them in secure, HTTP-only cookies.
- Revoke: If compromised, they must be immediately revoked by the user or server.
- Limited use: Some systems issue new refresh tokens with each refresh, invalidating the old one.
What Are Scopes?
Now let's talk about scopes. Scopes are simple strings that define the exact permissions an application is requesting from you.
They control *what* an application can do with your resources once it has an access token. Think of them as permission labels, like 'read_email' or 'write_photos'.
How Scopes are Applied
When an app asks for your permission (during the authorization step), it will explicitly list the scopes it needs.
You, the resource owner, then decide which of those permissions to grant. For example, you might grant 'read_profile' but deny 'write_posts'.
Practical Scope Examples
Scopes are typically defined by the Resource Server, and their names can vary. Here are some common examples you might encounter:
openid: Requesting basic identity info (often used in OpenID Connect).profile: Access to your basic profile data (name, picture, etc.).email: Access to your primary email address.https://www.googleapis.com/auth/photos.readonly: Read-only access to Google Photos.
Scopes Persist on Refresh
When an application uses a refresh token to get a new access token, the new access token will generally carry the same scopes that were originally granted.
The application can't magically gain new permissions during a refresh; it must request them again through a full user authorization flow if it needs more access.
Quick Check: Tokens & Scopes
Which of the following statements about Refresh Tokens and Scopes are TRUE?
Summary: Refresh & Scopes
We've covered two vital OAuth2 concepts that enhance both security and user experience:
- Refresh Tokens: Long-lived credentials used to obtain new, short-lived access tokens without user interaction, improving UX.
- Scopes: Granular permissions that define what an application is authorized to do on a user's behalf.
Understanding these helps you build more secure and user-friendly applications!
Questions Fréquemment Posées
La leçon « Jetons d’actualisation et portées » est-elle gratuite ?
Oui — le texte complet de « Jetons d’actualisation et portées » est gratuit à lire ici sur le web. Pour la pratiquer de manière interactive (un éditeur de code intégré et un tuteur IA 24/7) et déverrouiller le reste du cours OAuth2 & OpenID Connect Deep Dive, passe à CoddyKit PRO. Le cours OAuth2 & OpenID Connect Deep Dive comprend 4 leçons au total.
Qu'est-ce que j'apprendrai dans « Jetons d’actualisation et portées » ?
Découvrez les jetons d’actualisation, qui permettent d’obtenir de nouveaux jetons d’accès sans nouvelle authentification, ainsi que le rôle des portées dans la définition des autorisations d’accès. Tu pratiques OAuth2 & OpenID Connect Deep Dive avec du code pratique que tu exécutes directement dans le navigateur, et un tuteur IA 24/7 répond à tes questions au fur et à mesure que tu avances dans la leçon.
Dois-je avoir de l'expérience pour commencer OAuth2 & OpenID Connect Deep Dive ?
Aucune expérience préalable n'est requise. OAuth2 & OpenID Connect Deep Dive sur CoddyKit est structuré pour les débutants jusqu'aux apprenants avancés, donc tu peux commencer ici ou depuis le début et avancer à ton rythme. Ceci est la leçon 2 sur 4.
Combien de temps prend la leçon « Jetons d’actualisation et portées » ?
La plupart des leçons CoddyKit prennent environ 5–10 minutes. Chacune est courte et interactive, tu progresses régulièrement et tu repiques exactement où tu t'es arrêté sur le web et l'app.
Peux-tu écrire et exécuter du code dans cette leçon OAuth2 & OpenID Connect Deep Dive ?
Oui. Chaque leçon OAuth2 & OpenID Connect Deep Dive inclut un éditeur de code intégré, tu écris et exécutes du vrai code directement dans ton navigateur et tu reçois des retours IA instantanés — aucune configuration locale requise.
Toutes les leçons de ce cours
- PKCE pour les clients publics
- Jetons d’actualisation et portées
- Identifiants du propriétaire de la ressource
- Échange de jetons (RFC 8693)