目前我正在使用/token终结点获取access token、ID token（通过包括openid+offline_access作用域）和refresh token以用于授权代码流。code的值是我在response中从request到/authorize终结点接收到的authorization code。
此外，为了刷新access token以及ID token，我发送了一个token request，其中grant_type为refresh_token。
下面是参考链接，我正在尝试在我的自定义OIDC应用程序中实现类似的功能。https://developer.okta.com/docs/guides/refresh-tokens/main/#renew-access-and-id-tokens-with-spas
如果OpenID Connect概念中的grant_type=refresh_token（也在添加的令牌端点openid+offline_access范围内），它是否假定返回refresh_token和id_token，或者两者都是可选的？
下面是我试图理解的链接。
https://openid.net/specs/openid-connect-core-1_0.html#RefreshTokens
1条答案
按热度按时间mu0hgdu01#
使用刷新标记的目的是获取新的访问标记。根据后端配置，您还可以获取新的刷新标记（如果使用一次性刷新标记设置）。
你永远不会得到一个新的ID令牌，ID令牌通常是一个非常短的令牌（如5分钟），它的主要用途是描述用户是如何被验证的，以及它是谁。ID令牌的主要用途是创建本地会话（通常是会话cookie），在此之后ID令牌就没有真实的用途了。