WSO2 API Manager中生成新访问令牌不吊销旧令牌的问题

一、PASSWORD与REFRESH-TOKEN授权类型的核心差异 #

• PASSWORD授权类型：直接通过用户名密码换取令牌，属于用户身份重新认证的场景，系统会重新校验用户合法性，生成新令牌时失效旧令牌通常是网关的安全配置（比如单设备登录限制）导致的。
• REFRESH-TOKEN授权类型：标准逻辑是用有效的refresh token换取新access token，一般不会直接失效旧access token（部分实现会生成新refresh token，但旧refresh token在有效期内仍可使用）。你遇到的情况是网关做了强制单令牌的特殊配置，导致刷新时也会让旧access token失效。

二、两种方式都使旧令牌失效的原因 #

这并非OAuth2协议的标准行为，而是你的网关（或OAuth2服务端）开启了单会话/单令牌限制的安全配置：系统为了防止同一用户多端登录或令牌滥用，限制同一用户只能持有一个有效令牌，无论通过密码重新获取还是refresh token刷新，都会触发旧令牌失效机制，仅保留最新生成的令牌。

三、获取当前有效access-token的方案 #

OAuth2协议本身没有提供查询当前有效令牌的标准接口，可通过以下两种方式解决：

• 本地缓存令牌：在应用侧存储已获取的access token及过期时间，每次调用业务接口前先检查令牌是否过期：
  • 若未过期，直接使用缓存的令牌，无需调用/oauth2/token接口；
  • 若已过期，再使用refresh token调用接口获取新令牌。
• 调整网关配置：如果有权限修改网关的OAuth2配置，关闭"单令牌强制失效"规则，允许同一用户存在多个有效令牌，或者配置refresh token刷新时不失效旧access token。

内容的提问来源于stack exchange，提问作者Ehsan