oauth2.0为什么需要设置过期时间以及刷新时间的一些理解

1.为什么需要设置过期和刷新时间
如果令牌不过期，那么系统被第三方攻击的可能性会大幅度提高，肯定不可取。令牌如果永远不刷新同理。
2.过期时间与刷新时间的设置
一般来说刷新时间需要大于过期时间，否则刷新时间就失去了意义，当用户登录后令牌还未过期的情况下，令牌就被刷新了，此时客户的令牌已被认为无效。
纯属个人理解，谢谢。