Spring oauth2的token timeout

这几天绕了一个大圈子，内容其实很简单，想为后台基于Spring boot， Spring oauth2的应用加上session timeout的功能。

整个应用架构比较简单：

• UI
• 基于Spring oauth2的auth service
• 基于Spring boot的service

众所周知，oauth2下是使用token作为认证的凭证， 基本流程是这样的：

上图所示模块跟我们架构中的模块一一对应，Client对应UI， Resource Server对应我们基于Spring boot的service，Resource Owner对应的是User， 至于Authorization Server就是Auth Server了。

Session timeout的功能大家都很熟悉了吧：

用户登录后如果在一定的时间内（比如1小时）没有任何操作，那么session将timeout， 用户在这段时间后再次操作将被终止并将页面转至登录页面要求再次登录。

一开始觉得应该是个简单的需求，毕竟Spring oauth2是一个很成熟的产品了，在采用之初就接触到Access_token, Refresh_token等等概念了，首先从Refresh_token下手，毕竟长得像能解决问题的样子。

Refresh Token:

研究之后，发现这货并不能解决问题：

Auth Service在用户认证成功后会发放Access Token和Refresh Token， Access Token的有效时间比较短，而Refresh Token有效时间长。

其实Refresh token的作用是给Client端一个机会，可以在Access Token