WSO2问题：未过期的已签发OAuth2令牌为何失效？

核心结论 #

这种情况不是JWT的默认行为，而是你的认证服务针对同一Client ID启用了单一活动令牌（Single Active Token）或令牌轮换失效机制。

详细分析 #

• 标准JWT是无状态凭证，只要满足以下条件就应被正常识别：

  • 签名验证通过（匹配Client Secret或对应公钥）
  • 未超过exp（过期时间）字段设定的有效期
  • 已到nbf（生效时间）字段设定的生效时间
    标准逻辑下，新令牌的签发不会影响旧令牌的有效性，除非旧令牌被主动加入黑名单或过期。

• 同一Client ID触发问题的原因：
  你遇到的认证服务规则是按Client维度限制令牌有效性——每次为该Client签发新令牌时，会自动 invalidate 该Client下所有未过期的旧令牌，强制同一时刻只有最新的令牌（或单一令牌）有效。不同Client ID属于独立身份空间，所以不受此限制。

• Scope不影响的原因：
  这种限制是基于Client身份而非令牌的Scope权限，所以添加或修改Scope无法绕过该规则。

验证与解决建议 #

1. 验证令牌状态：解码令牌1，检查exp字段确认是否真的未过期，同时确认签名是否有效（用本地JWT解码工具即可）。如果这两项都正常，就能确定是认证服务的后端策略导致。
2. 调整服务配置：联系认证服务管理员或查阅其文档，确认是否启用了单一活动令牌类的策略，是否可以针对你的Client ID关闭该限制，或调整为允许多令牌同时有效。

内容的提问来源于stack exchange，提问作者Johan