Saltar al contenido principal
Los (MRRT) permiten usar un solo token de actualización para obtener tokens de acceso para varias API, cada una con sus propios alcances y permisos. MRRT se basa en el comportamiento estándar de OAuth 2.0 al permitir que los tokens de actualización mantengan varias políticas de autorización. Cuando una aplicación intercambia un token de actualización por un , puede seleccionar una y unos alcances de entre los que estén configurados. Al hacerlo, MRRT optimiza los flujos de autenticación al evitar la necesidad de obtener un nuevo token de actualización para cada API. Al usar MRRT, Auth0 combina dos fuentes de autorización para determinar qué token de acceso emitir durante el intercambio de un token de actualización:
  1. La audiencia y los alcances concedidos en el flujo de autenticación original.
  2. La audiencia y los alcances configurados en la política MRRT de la aplicación.
Esto permite que las aplicaciones reutilicen el token de actualización no solo para las API solicitadas al iniciar sesión, sino también para API adicionales permitidas en la política MRRT. Los beneficios clave de MRRT incluyen:
  • Un solo token de actualización por aplicación para gestionar el acceso a varias API.
  • No es necesario pasar por un completo cada vez que la aplicación necesita acceder a una API nueva.
  • Mejora del rendimiento y reducción de la carga en el .
  • Menor riesgo de límite de tasa debido a la repetición de flujos completos de código de autorización.

​
Cómo funciona

  1. La aplicación se autentica con Auth0.
  2. Auth0 devuelve un token de acceso y un token de actualización multirrecurso.
  3. La aplicación usa el token de acceso para llamar a la API 1.
  4. La aplicación intercambia el token de actualización multirrecurso por acceso a la API 2.
  5. Auth0 devuelve un nuevo token de acceso para la API 2.
  6. La aplicación llama a la API 2 con el nuevo token de acceso.
Por ejemplo, una aplicación nativa autentica al usuario y solicita acceso a la audiencia https://api.example.com. Después, la aplicación necesita acceso a la audiencia https://billing.example.com. Si ambas API están incluidas en la política de MRRT de la aplicación, la aplicación puede intercambiar un token de actualización por un token de acceso para cualquiera de las dos API.
Aprende a configurar e implementar el token de actualización multirrecurso.

​
Limitaciones

  • Cada token de acceso emitido mediante MRRT está limitado a una única API. Si su aplicación requiere acceso a varias API, debe solicitar tokens de acceso independientes para cada una.
  • MRRT solo admite aplicaciones de primera parte.
  • MRRT admite API configuradas para omitir el consentimiento del usuario.
  • La de Auth0 no se puede incluir en las políticas de MRRT.