我正在构建一个 oauth 2.0 协议。我想知道刷新令牌是如何工作的。
我的理解是刷新令牌的使用启用了短期访问令牌，因此限制了这些访问令牌的漏洞。到目前为止很棒。一旦访问令牌过期，您就会以某种方式使用刷新令牌来获取新的访问令牌。
我想知道最后一部分是如何发生的（不会通过注销来中断用户流程）：
- 为了确保交易安全，是否需要将应用程序 ID 和应用程序密码与刷新令牌一起发送，以确保请求者的身份？
- 如果是这样，听起来您不想在客户端（网络或移动应用程序或其他）上存储应用程序机密，那么如何在不注销用户的情况下做到这一点？
- 如果不是，如果您不能使用刷新令牌来验证请求者身份，那么刷新令牌的意义何在？可以将刷新令牌存储在客户端中吗？
