Refresh Token

access tokenと同じ点

auth serverが発行する

clientが使う

clientは解釈できない

access tokenと異なる点

protected resourceには送られない

clientとauth server間でのみ使用する

clientが、auth serverに新しいaccess tokenを要求する時に使う

refresh tokenを使ってaccess tokenを更新する手順

refresh tokenが漏れた時の対応、被害