访问和刷新令牌的生命周期

Question

该应用程序旨在由公司用于管理公司间文档。这些文档可能包含有价值的信息，因此它必须是安全的应用程序。我正在将Oauth2与访问令牌和刷新令牌一起使用。访问令牌的有效期为15分钟，刷新令牌的有效期为1天。 我还没有找到建议的令牌寿命。

• AT 15分钟，RT 1天好吗？如果是，为什么这些值足够好或不够好？
• 对于AT和RT来说，对于应用而言，最佳寿命是什么，必须真正确保安全。

非常感谢！

Answer 1

Gmail与银行帐户的比较。

我不知道您的业务归于何处。您应该与产品团队开会，解释会发生什么并让他们决定。如果需要一些尝试和错误才能获得正确的号码，也可以。

但是对于Gmail，刷新令牌几乎永不过期。我不认为我什么时候才是最后一次输入凭据。

对于银行，刷新令牌似乎只在10分钟内有效，如果您没有获得新的刷新令牌，则该令牌无效。

很明显，刷新令牌的到期时间应该比平均用户的会话时间长。