AccessToken失效与过期的区别、关联及无效时的刷新策略咨询

一、Invalid和Expired的核心区别 #

• Expired（已过期）：token本身格式合法、签名有效，只是超过了服务端预设的exp（过期时间）字段值，属于时间范围内的预期失效状态。
• Invalid（无效）：token未通过服务端的有效性校验，常见原因包括：
  • token签名被篡改（或传输过程中损坏）
  • token的iss（签发者）、aud（受众）等核心字段与服务端配置不匹配
  • token已被服务端主动吊销（比如用户主动登出、账号异常冻结）
  • token格式错误（缺失必要字段、字符乱码）
  • 过期时间过久，服务端已清理相关校验记录或不再认可旧签名规则

二、过期过久的token是否会变为Invalid？ #

是的。多数服务端会对过期时长超出阈值的token直接判定为Invalid，常见逻辑有两种：

1. 服务端定期清理过期很久的token校验缓存，不再保留这类token的验证依据；
2. 部分服务端设置“最大容忍过期时长”，超过该时长的token，即便仅单纯过期，也会被标记为Invalid，避免旧token被恶意复用。

三、收到Invalid返回时是否应该刷新Access Token？ #

不能直接默认执行刷新操作，需分场景处理：

• 先排查token本身的完整性：检查请求中的token是否完整、传输是否有误（比如HTTP头格式错误、字符截断）；
• 若确认token本身无问题，尝试用refresh token刷新一次：如果刷新成功，用新access token重试原请求；
• 若刷新失败：说明refresh token可能也已失效或被吊销，此时需引导用户重新登录，获取新的access token和refresh token；
• 特殊情况：如果Invalid是因token被主动吊销（如账号封禁），刷新操作必然失败，需终止自动流程并提示用户异常。

内容的提问来源于stack exchange，提问作者Dolphin