OAuth2中refresh_token是否仅限生成它的应用使用？

• 问题1：自有应用通过app_id、app_secret完成授权拿到的refresh_token，是可被任意第三方应用调用，还是仅能由生成该令牌的原始应用使用？
  结论：仅能由生成该令牌的原始应用使用，第三方应用拿了也用不了。

  这是OAuth2.0协议明确要求的基础安全逻辑：refresh_token在首次颁发时，就会和发起授权请求的客户端（也就是你的应用）身份做强绑定。后续调用令牌刷新接口时，服务端会第一时间校验当前请求方的应用身份，和令牌绑定的应用信息不匹配的话，会直接返回权限拒绝错误。哪怕第三方通过非法手段拿到了你的refresh_token字符串，过不了身份校验环节，根本没法用它换出新的access_token。

• 问题2：如果应用是公开类型（授权流程无需校验app_secret），颁发的refresh_token是仍和所属应用绑定，还是可以被其他任意应用随意使用？
  结论：依然和所属应用强绑定，其他应用没法随意冒用。

  公开类应用（比如浏览器端单页应用、移动端原生App）因为运行环境不可信，本身没法安全存储app_secret这类机密信息，所以授权流程不会要求校验app_secret，但这不代表服务端会放弃应用身份校验。这类场景下服务端会通过其他规则做身份绑定：比如校验授权请求携带的重定向URI必须和应用预先在平台备案的URI完全一致、校验请求携带的app_id和令牌绑定的app_id完全匹配，现在绝大多数平台还会强制要求公开应用使用PKCE流程——申请授权码时先生成一组校验值存在本地，后续刷新令牌时必须携带对应的校验串，和之前留存的信息匹配才能通过校验。其他应用既拿不到你本地存的PKCE校验串，也没法用自己的重定向地址走通你的应用授权流程，就算偷到了refresh_token也根本用不了。

内容的提问来源于stack exchange，提问作者EsseTi