为何IdentityServer获取Refresh Token需offline_access scope？在线场景疑问

你对offline_access的疑惑源于对字面含义的误解，OpenID Connect规范里的这个scope以及IdentityServer中的AllowOfflineAccess设置，本质是授权客户端获取Refresh Token的统一权限标识，并非仅服务于“用户离线”的场景。

核心原因说明： #

• 规范中对offline_access的定义是：

  offline_access
  OPTIONAL. This scope value requests that an OAuth 2.0 Refresh Token be issued that can be used to obtain an Access Token that grants access to the End-User's UserInfo Endpoint even when the End-User is not present (not logged in).
  这段描述只是强调了它支持“用户离线”的极端场景，但并非限定只能用于该场景。Refresh Token的核心作用是长期维持客户端与授权服务器的会话，不管用户当前是否处于在线登录状态，只要客户端持有合法的Refresh Token，就能申请新的AccessToken。

• 在IdentityServer的实现逻辑里，AllowOfflineAccess = true是客户端层面的开关，只有开启这个设置，客户端才有资格请求Refresh Token——这和你实际使用的是在线还是离线场景无关。你的在线场景中，用户保持登录状态下用Refresh Token续期AccessToken，完全是这个权限覆盖的合法场景，不会触发任何“离线”相关的特殊行为。

你的代码示例说明 #

你提供的代码中设置AllowOfflineAccess = true只是开启了客户端获取Refresh Token的权限：

public static class Config
{
    public static IEnumerable<Client> Clients =>
        new Client[] 
        {
            new Client()
            {
                AllowOfflineAccess = true,
                // ....
            }
        }
}

在你的在线场景中，只要用户保持在IDP的登录状态，使用Refresh Token换取新的AccessToken完全符合设计逻辑，无需担心“离线”特性带来的问题。

内容的提问来源于stack exchange，提问作者user25521292