使用Bearer认证搭配TLS 1.2时refresh token的作用与必要性问询

即便已经部署了TLS 1.2+、使用合规CA机构颁发的证书，refresh token依然有不可替代的作用，你之前只考虑了传输层的中间人攻击风险，遗漏了以下几类非传输场景的安全风险：

• 客户端本地泄露风险
  TLS仅能保障传输链路中的数据不被窃取、篡改，完全无法覆盖客户端侧的安全问题：用户设备中了木马/恶意程序、浏览器被安装恶意插件、Web应用存在XSS漏洞、移动端APP本地存储被非法读取等场景下，攻击者可以直接从客户端本地拿到存储的令牌。如果没有refresh token，为了避免用户频繁重新登录，只能将access token有效期设置得很长，一旦泄露攻击者可长期滥用；而双令牌机制下，短有效期的access token哪怕被窃取，可用窗口极短，风险可控。
• 权限变更的即时性需求
  业务场景中经常会出现用户权限变动的情况：账号被封禁、员工离职权限回收、用户付费到期降级等。如果只有长有效期的access token，权限变更后旧令牌依然可以正常使用，会出现很长的风险空窗期；双令牌机制下可以将access token有效期设置到可接受的风险窗口（通常为15~30分钟），权限变更后最多半个到一个小时就会生效，也支持主动作废指定用户的refresh token，实现强制下线的能力。
• 核心登录凭证泄露风险
  如果没有refresh token，access token过期后用户需要重新输入账号密码、或重新走第三方授权流程，用户提交核心登录凭证的频率越高，被键盘记录、钓鱼攻击窃取的概率就越高。refresh token支持后台静默刷新access token，全程不需要用户参与，也不需要再次传输用户的核心凭证，同时降低了体验成本和安全风险。
• 日志泄露的防控成本差异
  access token每次业务请求都会携带，会散在所有业务服务的访问日志中，只要有一个业务服务的日志权限管控不当，就可能出现大规模令牌泄露。而refresh token仅在调用鉴权服务的刷新接口时传输，仅出现在鉴权服务的有限日志中，管控成本低得多，泄露风险也更小。

内容的提问来源于stack exchange，提问作者Teamol