Ablauf Refresh Token

Nachdem der Benutzer sich erfolgreich bei der Anwendung angemeldet hat, erhält der Client ein Access Token und ein Refresh Token. Das Access Token hat eine begrenzte Gültigkeitsdauer, während das Refresh Token länger gültig bleibt. Wenn das Access Token abläuft, sendet der Client einen POST-Request an den Token-Endpunkt des Autorisierungsservers. In diesem Request übermittelt der Client das Refresh Token sowie die Client-ID und das Client-Secret. Der Server prüft die Gültigkeit des Refresh Tokens und, wenn alles korrekt ist, stellt er ein neues Access Token aus. Dieses neue Token kann dann verwendet werden, um weiterhin auf die geschützten Ressourcen zuzugreifen, ohne dass der Benutzer sich erneut anmelden muss.