OAuth刷新令牌：为何选择撤销而非直接删除？

在OAuth的设计逻辑里，撤销刷新令牌是一种状态变更操作，而直接删除是物理移除记录，两者的核心差异在于对分布式场景、合规审计、系统容错性的适配性。下面是直接删除会引发问题的具体场景：

1. 分布式集群下的一致性问题 #

很多生产环境的授权服务器是多实例集群部署的。如果直接删除某台实例数据库里的刷新令牌记录，其他实例的数据库可能还没同步完成，此时攻击者或用户拿着已“删除”的刷新令牌请求新访问令牌时，未同步的实例会认为令牌有效，依然返回新的访问令牌，导致令牌失效操作完全失效。
而撤销操作是给令牌标记一个「已撤销」的状态（比如添加revoked_at时间戳），所有实例都会读取这个状态字段，不管数据同步是否延迟，都能统一判断令牌无效，避免一致性漏洞。

2. 合规审计的缺失 #

金融、医疗等强监管行业要求所有操作必须留痕，包括令牌的生命周期变更。直接删除令牌记录会彻底抹除该令牌的存在痕迹，无法追溯“谁在什么时候触发了令牌失效”，违反合规要求。
撤销操作会保留令牌的完整历史数据，包括创建时间、撤销时间、操作人等信息，既能满足审计需求，也能在出现安全事件时快速溯源。

3. 误操作后无法恢复 #

如果管理员误删了某个用户的刷新令牌，用户将无法通过刷新令牌获取新的访问令牌，只能重新发起授权流程（比如跳转登录页），严重影响用户体验。
而撤销操作只是标记状态，一旦发现误操作，可以通过取消「已撤销」标记快速恢复令牌的有效性，无需用户重新授权。

4. 资源清理不彻底 #

刷新令牌通常和用户的会话、关联的访问令牌绑定。直接删除刷新令牌记录时，系统可能不会触发关联的清理逻辑——比如已发放的访问令牌可能还在有效期内，依然能访问受保护资源；用户的会话资源也可能没有及时释放，造成资源浪费。
撤销操作可以作为一个触发信号，联动触发访问令牌失效、会话资源回收等后续逻辑，确保权限彻底关闭。

5. 令牌重放的误判风险 #

假设刷新令牌被攻击者窃取，在管理员执行删除操作后，如果攻击者拿着令牌请求，授权服务器可能因为找不到记录而返回「无效令牌」，但如果是依赖缓存的无状态验证场景，可能会因为缓存未同步而误判为有效。
而撤销操作的状态标记是明确的“无效”，不管是从数据库还是缓存读取，都能直接判断令牌已失效，避免重放攻击的漏判。

内容的提问来源于stack exchange，提问作者Steve