access tokenと同じ点

auth serverが発行する

clientが使う

clientは解釈できない

access tokenと異なる点

protected resourceには送られない

clientとauth server間でのみ使用する

clientが、auth serverに新しいaccess tokenを要求する時に使う

RFC6749 1.5

refresh tokenを使ってaccess tokenを更新する手順

refresh tokenが漏れた時の対応、被害