在 OAuth 2.0 中，refreshToken（刷新令牌） 的主要目的是为了提升用户体验和安全性，同时确保访问令牌的有效性。以下是需要使用 refreshToken 的原因：
1. 访问令牌的有限生命周期
访问令牌（accessToken） 的有效期一般较短，通常是几分钟到几个小时。这种设计是为了降低安全风险：
- 如果令牌被盗，攻击者只能在有限时间内使用。
- 短生命周期的令牌减少了其在网络上传输时被窃取的概率。
但是，短有效期可能会对用户体验造成影响。如果每次令牌过期都需要用户重新登录授权，会非常不便。
2. 无需频繁要求用户重新授权
- 使用 refreshToken，客户端可以在 accessToken 过期时，向授权服务器请求新的 accessToken，而无需用户再次登录。
- 这简化了用户操作，提高了用户体验，尤其是在移动端或无头服务（如 API 接口）中。
3. 提高安全性
分离敏感令牌和访问令牌：
- refreshToken 一般只在客户端和授权服务器之间通信，并且不会频繁使用，也不需要暴露给资源服务器。
- 即使 accessToken 被盗，攻击者只能短时间访问资源，而不能长期保持访问。
强制重新授权机制：
- 如果用户的 refreshToken 被撤销（例如用户主动注销、密码被修改、账户被禁用），即使旧的 accessToken 没有过期，客户端也无法再获取新的 accessToken，从而强制用户重新授权。
4. 支持长期会话管理
- refreshToken 的生命周期通常比 accessToken 长得多，可以支持用户的长期会话管理。用户登录一次后，只要 refreshToken 没有失效，客户端可以持续获取新的 accessToken。
- 授权服务器可以根据需要设置 refreshToken 的有效期，或通过后端机制动态撤销 refreshToken。
5. 减少授权服务器的压力
通过 refreshToken，客户端不需要频繁请求用户授权，减少了授权服务器需要进行用户身份验证的频率，从而降低了服务器的负载。
以下是 OAuth 2.0 使用 refreshToken 的典型工作流程：
- 用户通过授权流程（Authorization Code Flow、Password Flow 等）获取 accessToken 和 refreshToken。
- 客户端使用 accessToken 访问资源服务器。
- 当 accessToken 过期时：
- 客户端用 refreshToken 向授权服务器请求新的 accessToken。
- 授权服务器验证 refreshToken 的合法性，并颁发新的 accessToken（有时也会颁发新的 refreshToken）。
- 客户端用新的 accessToken 继续访问资源。
使用注意事项
- refreshToken 通常只应保存在受信任的客户端环境中，例如后端服务或本地加密存储（移动端）。
- refreshToken 的泄露可能导致长时间的访问风险，因此需要结合机制（如 IP 地址、设备指纹等）限制它的使用范围。
- 可以配合 PKCE（Proof Key for Code Exchange） 等安全机制，进一步提升安全性。
refreshToken 是 OAuth 2.0 中为解决 安全性 和 用户体验 之间平衡的重要设计。它允许客户端在不频繁请求用户授权的情况下，安全地获取新的 accessToken，从而实现短生命周期令牌的安全管理和长期会话的维持。