apigee oauth2 每次都会生成新的访问令牌

Question

我正在尝试使用 apigee。我已经配置了一个具有 oauth2.0 安全性的代理。

一切正常。但我注意到每次我点击 oauth2/accesstoken 端点时都会生成一个新的访问令牌，尽管前一个访问令牌尚未过期。

因此，我的端点一次可以使用多个令牌访问。我不是 oauth2 专家，但这不是安全风险吗？如果我们周围有这么多访问令牌。请澄清。
这是每个 oauth2 服务器的通常实现，还是它特定于 apigee，如果是，为什么？

我的假设是，对于特定客户端 key/secret，在任何给定时间都只有一个有效的访问令牌，当它过期时，客户端应该使用刷新令牌请求一个新令牌。这有错吗？

Answer 1

使用 PopulateCache 和 LookupCache 策略。

Answer 2

对 lookup/populate 缓存使用 ResponseCache 策略。这是一个通读缓存策略。