您在此处：
API（启用 OAuth 设置）：需要刷新令牌流控制的密码
此控制要求机密客户端应用程序在将刷新令牌交换为新访问令牌时提供客户端密码，以验证客户端的身份。
控件名称
连接的应用程序：API（启用 OAuth 设置）：需要刷新令牌流的密码
推荐配置
需要刷新令牌流的密码。
控制概览
此控制要求机密客户端应用程序在将刷新令牌交换为新访问令牌时提供客户端密码，以验证客户端的身份。
安全风险（如果未配置）
窃取刷新令牌的攻击者可以无限期地获得新的访问令牌，而无需应用程序的专用凭据，从而有效地绕过了关键的身份验证因素。
威胁场景
攻击者从被盗用的移动设备或日志文件中提取刷新令牌，并从单独的未经授权的服务器使用它来保持对用户 Salesforce 数据的持久“无头”访问。
估计的 CVSS 得分范围
关键 (9.0–10.0)。
风险影响注意事项
不要求密码允许在环境中长期存在，而不会被检测到，从而大大延长了数据泄露的持续时间，超过了初始会话的生命周期。
高风险
刷新令牌没有到期日期，或者当连接的应用程序与可以访问敏感 PII 或系统元数据的高权限集成用户相关联时。
低风险
如果启用刷新令牌轮换，因为这可确保任何被盗刷新令牌在首次未经授权使用后立即变为无效。
业务和集成注意事项
实施此要求可能会破坏原有集成或移动应用程序，这些集成或应用程序并非旨在在后台刷新过程中存储或传输客户端密码。
建议的补救措施
转到连接的应用程序的 OAuth 设置，并选中“需要刷新令牌流的密码”复选框。
安全健康审查指导
安全运行状况审查将此控制识别为对会话持久性的重要防御，因此仅靠被盗令牌不足以保持进入组织的永久后门。
本文章是否解决您的问题？
请与我们共享您的想法，以便我们进行改进！
