如何通过refresh token查询对应终端用户及授权scopes信息

可行性结论 #

该操作完全可行，符合OAuth 2.0及OIDC的标准规范设计，只要你持有的refresh_token、client_id、client_secret归属同一套OAuth授权体系即可正常执行。

最优实现方式 #

优先采用RFC 7662定义的标准**Token Introspection（令牌自省）**接口实现查询，这是所有合规OAuth服务官方支持的查询方案，不会修改refresh_token的原有生命周期，稳定性和兼容性最高，操作步骤如下：

• 构造接口请求，认证方式优先采用HTTP Basic Auth：将client_id:client_secret字符串做Base64编码后，填入请求头Authorization: Basic <编码后内容>
• 请求体按application/x-www-form-urlencoded格式提交两个必填参数：
  • token：待查询的refresh_token值
  • token_type_hint（可选）：填入refresh_token，帮助服务端快速匹配令牌类型，提升查询效率
• 解析接口响应，提取目标信息：
  1. 先校验响应中的active字段：值为true代表当前refresh_token有效，后续字段可正常读取；值为false代表令牌已过期/作废，无有效信息
  2. 用户身份信息：标准字段为sub，返回该refresh_token对应的终端用户唯一标识，部分服务会额外返回user_id、username等自定义身份字段，以对接服务的文档定义为准
  3. 授权范围信息：标准字段为scope，返回空格分隔的scope列表，拆分后即可得到该凭证关联的所有授权范围

备选兼容方案：若你对接的OAuth服务未实现标准令牌自省接口，可调用refresh_token刷新access_token的接口，返回结果中会直接携带scope字段；如果是OIDC体系，返回的id_token解码后也可获取sub等用户身份字段。注意该方案会触发refresh_token的生命周期更新，部分服务会作废原有refresh_token、返回新的refresh_token，使用前需确认对接服务的规则。

注意事项 #

• 不要尝试自行解码refresh_token提取信息：绝大多数OAuth服务的refresh_token是不透明字符串，只有服务端可以解析内容，自行解码得到的均为无效数据，且不符合安全规范
• 做好接口调用频率控制：大部分OAuth服务对令牌自省接口有调用频率限制，可在本地缓存有效令牌的查询结果，降低重复调用次数
• 严格保护client_secret安全：调用接口时不要将client_secret放到URL参数中传输，避免被日志泄露

内容的提问来源于stack exchange，提问作者jph