OAuth2授权过期时间推荐值及永久续期可行性咨询

问题背景 #

我们的应用基于OAuth2协议，服务端采用Node.js运行，使用oidc-provider包，并通过官方Redis适配器示例将刷新令牌、授权凭证（grant）等数据存储在Redis中。客户端是原生应用，登录后获取有效期30天的刷新令牌（存储在系统专属安全密钥链），每小时或应用重启时会用刷新令牌换取新的访问令牌。为实现“用户仅需显式登录一次，之后保持登录状态”的理想体验，我们还设置了每日运行的守护进程，用于调用刷新令牌并执行辅助任务。

但我们频繁遇到grant is invalid错误，排查后发现：Redis数据库中除了grant:{id}键外，还有Grant:{id}键，而适配器的upsert操作未更新后者的过期时间，导致授权凭证（当前有效期为2周）两周后过期，引发错误。我们考虑通过延长Grant:{id}的Redis TTL并更新其值中的exp字段，实现授权凭证永久有效，现咨询以下问题：

• 修改适配器使授权凭证可无限续期是否可行？
• 这是否属于不良安全实践？
• “仅需登录一次”的理想用户体验是否不合理？
• OAuth2中推荐的授权过期时间是多少？

解答 #

1. 技术可行性 #

完全可行。你只需修改Redis适配器的upsert方法，在处理Grant类型的数据时，同步完成两个操作：

• 更新Redis中Grant:{id}键的TTL，使其与刷新令牌有效期或你期望的周期保持一致；
• 更新存储对象中的exp字段，确保其与Redis键的过期时间匹配。
  注意要同时处理大小写不同的grant:{id}和Grant:{id}键，避免遗漏其中一个导致的过期问题。

2. 是否属于不良安全实践 #

这需要结合业务场景和安全防护措施判断：

• 核心风险：无限续期的授权凭证相当于长期有效的权限入口，若刷新令牌泄露，攻击者可永久获取用户权限；此外，用户主动注销后，若未及时清理授权凭证，可能存在被滥用的隐患。
• 可接受场景：如果你的原生应用有严格的安全防护（如密钥链加密存储刷新令牌、设备绑定、异常登录行为检测），且用户群体对长期登录的需求远高于安全风险（比如企业内部办公应用），这种做法是可接受的。但面向公开用户的消费级应用，不建议采用无限续期的方式。

3. “仅需登录一次”的体验合理性 #

这种体验是合理的，但需要平衡安全与便捷：

• 目前很多原生应用（如社交、办公类）都提供“记住登录状态”的功能，本质就是通过长期有效的刷新机制实现近似“一次登录”的体验。但通常不会设置为真正的“永久”，而是采用较长的有效期（如1年），同时配合主动注销、设备管理、风险预警等机制，在保障安全的前提下满足用户的便捷需求。

4. OAuth2推荐的授权过期时间 #

行业内没有绝对统一的标准，常见实践如下：

• 访问令牌：15分钟至1小时，有效期越短，被泄露后带来的风险越低，适合需要频繁刷新的场景；
• 刷新令牌：7天至90天，消费级应用一般设置7-30天，企业内部应用可延长至90天甚至1年；
• 授权凭证（grant）：通常与刷新令牌的有效期保持一致，或略长（避免刷新令牌时授权凭证先过期）。

另外，建议你先优先修复当前的适配器Bug——让Grant:{id}的TTL与grant:{id}同步更新，解决grant is invalid的问题后，再根据业务需求决定是否延长授权凭证的有效期，而非直接设置为永久续期。

内容的提问来源于stack exchange，提问作者tommaisey