OIDC におけるリフレッシュトークン - Auth0 Docs

OIDC 準拠パイプラインでは、について次のような変更があります。

認証にインプリシットグラントを使用した場合、返されなくなります。
機密アプリケーションで使用できます。
パブリックアプリケーションが PKCE を使用した Authorization Code フローを使用する場合、Refresh Tokenのローテーションと併用できます。
/delegation エンドポイントは非推奨であるため、新しいトークンを取得するには /oauth/token エンドポイントを使用する必要があります。

また、リフレッシュトークンの構造にも違いがあります。詳しくは、リフレッシュトークンをご覧ください。

レガシー (委譲)

POST /delegation
Content-Type: 'application/json'
{
  "grant_type": "urn:ietf:params:oauth:grant-type:jwt-bearer",
  "client_id": "...",
  "refresh_token": "...",
  "scope": "openid profile"
}

OIDC準拠 (トークンエンドポイント)

POST /oauth/token
Content-Type: application/x-www-form-urlencoded
grant_type=refresh_token&refresh_token=123&client_id=123&client_secret=123&scope=openid+profile&audience=https%3A%2F%2Fapi.example.com

audience と client_secret のパラメーターは省略可能です。
パブリックアプリケーションの refresh_token をリクエストする場合、client_secret は不要です。

リフレッシュトークンは、送信時と保存時の両方で機密として扱う必要があり、認可サーバーと、そのリフレッシュトークンの発行先であるクライアント以外と共有すべきではありません。

詳しくはこちら