Hallo, ich nutze die IoT-API über einen eigenen Client (Authorization Code + PKCE, Scope IoT User offline_access) und erneuere den Access-Token zyklisch. Der Refresh-Token wird reproduzierbar rund zwei Stunden nach seiner Ausstellung ungültig. Die Anfrage an /idp/v3/token mit grant_type=refresh_token antwortet dann mit HTTP 400 und: {"error":"invalid_grant","error_description":"Invalid grant"} Vier Messreihen, Angaben in Minuten nach Abschluss des Autorisierungsablaufs: Intervall 50 Minuten
+48 ok
+98 ok
+148 FEHLER (dreimal reproduziert, an drei Tagen)
Intervall 20 Minuten
+12 ok
+32 ok
+52 ok
+72 ok
+92 ok
+112 ok
+132 FEHLER
+152 FEHLER Der zweite Lauf grenzt die Lebensdauer auf das Fenster [112, 132] Minuten ein. Der einzige runde Wert, der in alle vier Messreihen passt, sind 120 Minuten. Drei Beobachtungen dazu: Benutzen verlängert die Frist nicht. Sechs erfolgreiche Erneuerungen innerhalb der zwei Stunden haben die Lebensdauer um keine Minute verschoben – der Ablauf ist absolut ab Ausstellung. Es gibt keine Rotation. Jede erfolgreiche Antwort enthält ein Feld refresh_token, und dessen Wert ist identisch mit dem eingereichten. Ich speichere ihn zurück und protokolliere den Vergleich, es kann also kein neuer Token übersehen worden sein. Ein kürzeres Intervall hilft nicht. Es verschiebt nur den letzten erfolgreichen Refresh näher an die Grenze. Praktisch läuft die Anbindung nach jeder Autorisierung maximal etwa drei Stunden (zwei Stunden Refresh-Token plus die letzte Access-Token-Stunde), danach ist der vollständige Ablauf im Browser nötig. Dokumentiert sind 180 Tage Lebensdauer für den Refresh-Token.
... Mehr anzeigen
