Как проверить токен проверки google - привязка клиента для OAuth 2.0?

Question

Протокол OAuth 2.0 говорит

«Сервер авторизации ДОЛЖЕН проверить привязку между токеном обновления и идентификатором клиента, когда идентификатор клиента может быть аутентифицирован».

http://tools.ietf.org/html/rfc6749#section-10.4

Меня интересует, как они проверяют «токен обновления - клиент привязки» для Android и IOS приложений? Как они узнают, что запрос пришел из приложения, которое создало токен обновления, а не какое-то другое приложение (это, когда токен обновления отображается для получения нового токена доступа)?

Как вы думаете, что лучше всего проверить привязку «refresh token-client»?

Answer 1

Клиент должен включить client_id и client_secret в запрос при обмене токена обновления (см. docs). Это аутентифицирует клиента и позволяет серверу проверить, что токен обновления действительно связан с клиентом, делающим запрос, перед выдачей маркера доступа.