Slack OAuth v2重复返回令牌对问题及规范咨询

核心原因：Bot令牌的身份绑定逻辑 #

Slack的**Bot OAuth Token（xoxb）是绑定到「应用+工作区」**组合的，而非单个用户。不管工作区里哪个用户完成OAuth授权，只要是同一应用在同一工作区，返回的Bot令牌都是同一个。这是Slack的设计逻辑——Bot是属于工作区的应用身份，不是用户个人的专属身份。

你的疑问逐一解答 #

1. 能否让Slack每次返回唯一令牌对？ #

针对Bot令牌，无法实现。但可以通过以下两种方式满足「区分不同项目/用户」的需求：

• 改用User令牌（xoxp开头）：User令牌绑定到单个用户，每个用户授权会返回唯一的令牌对。但需要申请对应的用户权限，且令牌的权限范围是该用户的个人权限。
• 添加安装上下文标识：OAuth授权时传递metadata参数（比如项目ID），用来标记不同的安装场景。虽然令牌还是同一个，但你可以通过这个参数区分不同项目的安装记录，后续统一维护该工作区的令牌，避免重复刷新。

2. 刷新令牌是否会失效旧令牌？ #

启用token rotation后，每次刷新会生成新的access/refresh令牌对，旧的access令牌会立即失效，旧的refresh令牌也会同步作废。这就是你的场景中A的令牌刷新后B的令牌失效的原因——本质上是同一个令牌，刷新后旧实例直接作废。

3. 是否符合OAuth规范？ #

完全符合。OAuth规范允许授权服务器针对同一客户端（你的应用）+资源所有者（Slack工作区）返回相同的令牌，也支持令牌轮换机制。Slack将工作区作为资源所有者，同一应用在同一工作区对应唯一Bot身份，这种实现是合理的。

4. 你的概念误解点 #

混淆了Bot令牌与User令牌的身份逻辑：

• Bot令牌属于工作区的应用实例，所有用户授权同一应用都会复用这个令牌；
• User令牌才是绑定到用户个人的，每个用户授权会生成独立令牌。你期望不同用户得到不同令牌，这是User令牌的特性，而非Bot令牌的。

建议解决方案 #

• 统一维护工作区令牌：不再按项目单独刷新，而是针对每个工作区只维护一套最新的令牌对，所有属于该工作区的项目共享这套令牌。这样避免重复刷新导致的冲突。
• 评估改用User令牌：如果项目确实需要独立的身份令牌，切换到User令牌流程，确保每个用户/项目有独立的令牌对。
• 使用metadata区分安装场景：在OAuth授权时传入项目标识，后续关联工作区令牌与项目，统一管理刷新逻辑。

内容的提问来源于stack exchange，提问作者Adam Eisfeld