スプリングセキュリティclient_credentials grant_type - リフレッシュトークンのサポート

Question

client_credentials許可タイプがリフレッシュトークンシナリオをサポートしていますか？

client_credentialsグラントタイプを使用すると、access_tokenの有効期限はどのように処理する必要がありますか？

私は、クライアントアプリケーションからのすべての要求のゲートウェイとして機能するプロキシサービス（Zuul with EnableOAuth2Sso）の後ろに認証サービスとセキュリティ保護されたサービスを持っています。

1. プロキシサービス（zuul）
2. Proxyサービスがclient_id、client_secretとgrant_typeを掲載することにより、承認サービスAPIを呼び出すクライアントアプリケーションからの要求（残りAPI）を受け付ける（：ここ
   は、私が持っている流れでありますclient_credentials）を取得し、access_token,refresh_token、応答から有効期限が切れます
3. プロキシサービスは、zuulルートマッピングに従って保護されたサービスに元の要求をルーティングします。

この流れが正常に動作しますが、ClientCredentialsAccessTokenProviderのコードを見て、私は「supportsRefresh」戻りfalseと「refreshToken」メソッドはnullを返すことに気づきました。これは、access_tokenがクライアントアプリケーションからプロキシサービス（zuul）への後続のリクエストの期限が切れると失敗することを意味しますか？

Answer 1

client_credentials OAuth許可サーバーはマシンツーマシン認証を必要とするため、トークンを更新する必要はありません。

結果として、Spring Security OAuthのClientCredentialsAccessTokenProviderでは、supportsRefreshはfalseを返し、refreshTokenメソッドはnullを返します。

実際、認証サーバーとリソースサーバーはすべて同じ場所にあります（これは、トークンの生成がかなり安いことを意味します）。私はアクセストークンの短い寿命（10分のような）を設定して、それらを自己使い捨てとして扱うことができ、保護されたリソースに触れたいときはいつでもアクセストークンを得ることをお勧めします。