使用passport-github登录时每次获取新GitHub Access Token是否为预期行为？

别担心，你遇到的每次登录Access Token更新的情况，完全是passport-github结合GitHub OAuth机制的预期行为，下面给你拆解原因和可选的优化方案：

1. GitHub OAuth的核心设计逻辑 #

GitHub的OAuth 2.0授权流程中，每次完成完整的用户授权（包括用户输入账号密码、确认权限的环节），都会生成一个全新的Access Token。哪怕是同一个用户、同一个应用，重复触发登录流程，GitHub都不会返回之前用过的Token——这是出于安全考虑：短期、频繁更新的Token能最大程度降低Token泄露后的风险范围。

2. passport-github的配置影响 #

默认情况下，passport-github不会请求offline_access权限范围。如果你希望在用户不需要重复登录的前提下，也能获取新的Access Token，需要在策略配置中添加这个scope，这样GitHub会同时返回一个Refresh Token：

const GitHubStrategy = require('passport-github').Strategy;

passport.use(new GitHubStrategy({
    clientID: 你的GitHub客户端ID,
    clientSecret: 你的GitHub客户端密钥,
    callbackURL: "http://localhost:3000/auth/github/callback",
    scope: ['user:email', 'offline_access'] // 新增offline_access scope
  },
  function(accessToken, refreshToken, profile, done) {
    // 建议把refreshToken存储到你的数据库中，后续可以用它刷新Access Token
    User.findOrCreate({ githubId: profile.id }, function (err, user) {
      return done(err, user);
    });
  }
));

有了Refresh Token后，你就可以在后台调用GitHub的接口，用Refresh Token换取新的Access Token，而不需要用户再次登录。不过要注意：哪怕用Refresh Token刷新，得到的新Access Token依然是全新的，这同样是GitHub的安全设计。

3. 总结 #

• 每次用户主动登录时Access Token更新：完全正常，是预期行为
• 如果想避免用户重复登录但仍能获取有效Token：添加offline_access scope并保存Refresh Token，用它来刷新Access Token

内容的提问来源于stack exchange，提问作者skiilaa