私はトークンベースの認証システムを使用するアプリケーションに取り組んでおり、ユーザーはユーザー名/パスワードを提供し、その見返りにトークンを受け取ります (トークンはデータベースにも保存されます)。その後のリクエストには、このトークンがカスタム ヘッダーとして含まれ、これを使用してユーザーを識別できます。これはすべてうまくいきます。
現在、ユーザーが 3 日間ログインしない場合、トークンは失効します。OAuth のリフレッシュ トークンについて少し読んでいて、どうにかして似たようなものを実装できないかと思っていました。つまり、認証トークンを提供するときに、後で新しい認証トークンを要求するために使用できる更新トークンも提供します。ただし、セキュリティの観点からは、そもそもユーザーの認証トークンを期限切れにしないことと非常に似ているようです。ユーザーを検証するために、更新トークンと共に追加情報を送信する必要がありますか?