Flutter spotify_sdk access token过期如何仅通过服务端刷新？

核心结论 #

你目前使用spotify_sdk的getAuthenticationToken方法走的是面向客户端的Spotify授权码流PKCE模式，默认仅返回有效期1小时的access_token，无法完全脱离前端/客户端仅靠服务端刷新令牌，必须在首次授权时做少量适配才能实现服务端刷新，可选方案如下：

可选实现方案 #

方案1：客户端首次授权时同步返回refresh_token给服务端（改动最小） #

• 首先调整spotify_sdk的调用参数，开启返回refresh_token的配置（spotify_sdk v2.3.0+版本支持getAuthorizationToken返回完整授权响应，包含refresh_token字段）
• 客户端拿到access_token和refresh_token后，将两个值同时传到你的服务端加密存储，refresh_token属于敏感数据不可明文存储
• 服务端检测到access_token过期后，直接调用Spotify官方令牌刷新接口，带上client_id、client_secret、refresh_token即可换取新的access_token，部分场景下会同步返回新的refresh_token，需要同步更新存储
• 服务端刷新令牌调用示例（Dart版本）：

var response = await http.post(
  Uri.parse('https://accounts.spotify.com/api/token'),
  headers: {
    'Content-Type': 'application/x-www-form-urlencoded',
    'Authorization': 'Basic ${base64Encode(utf8.encode('$clientId:$clientSecret'))}'
  },
  body: {
    'grant_type': 'refresh_token',
    'refresh_token': storedRefreshToken,
  },
);

• 优缺点：客户端仅需要新增一次refresh_token上传逻辑，服务端逻辑简单，适合大多数场景

方案2：切换为服务端发起的授权码流（完全不需要前端处理令牌刷新） #

• 放弃客户端的getAuthenticationToken方法，改为由服务端生成Spotify授权链接，前端/客户端仅负责跳转授权、回调返回授权码给服务端
• 服务端拿到授权码后直接调用Spotify令牌接口，自行获取access_token和refresh_token存储
• 后续所有令牌刷新逻辑完全由服务端自主完成，不需要客户端参与任何令牌相关操作
• 优缺点：授权逻辑完全由服务端可控，稳定性更高，适合多端同步用户Spotify授权的场景，但需要整体调整授权流程，改动量较大

方案3：客户端定时主动刷新令牌同步给服务端（服务端无感知） #

• 如果你完全不想修改服务端逻辑，可以在客户端添加定时器，每隔50分钟左右重新调用一次getAuthenticationToken方法获取新的access_token，同步到服务端更新存储
• 优缺点：服务端不需要做任何修改，但客户端需要处理后台刷新、授权过期重试等边界情况，稳定性依赖客户端的运行状态

注意事项 #

• 所有方案中client_secret绝对不能暴露在客户端代码中，仅可存储在服务端
• Spotify的refresh_token长期有效，除非用户手动取消授权或者申请的授权scope发生变化，不需要用户频繁重新授权

内容的提问来源于stack exchange，提问作者Rabbiot Rabbiot