WSO2 IS 5.11.0/APIM 4.1.0中oauth2/revoke API无法正常撤销令牌问题

操作步骤 #

1. 在APIM上部署并发布API。
2. 通过APIM生成访问令牌，执行以下curl命令：

curl -k -d "grant_type=password&username=<USERNAME>&password=<PASSWORD>&scope=openid" -H "Authorization: Basic <BASE64 ENCODED CONSUMER_KEY:CONSUMER_SECRET>, Content-Type: application/x-www-form-urlencoded" https://<GATEWAY_HOSTNAME>:<PORT>/oauth2/token

3. 将生成的访问令牌放入Authorization请求头，成功调用目标API。
4. 调用令牌撤销API，返回成功响应：

curl -k -v -d "token=<ACCESS_TOKEN_TO_BE_REVOKED>" -H "Authorization: Basic <base64 encoded (clientId:clientSecret)>" -H "Content-Type: application/x-www-form-urlencoded" https://localhost:9443/oauth2/revoke

5. 发现已撤销的访问令牌仍处于活跃状态，可继续访问已发布的API。

环境信息 #

• WSO2 Identity Server 5.11.0
• WSO2 API Manager 4.1.0

疑问 #

• 为何撤销后访问令牌仍有效？
• 如何检查/oauth2/revoke API是否正常工作？
• 是否需要配置/oauth2/revoke API才能实现令牌撤销？

解答 #

1. 撤销后令牌仍有效的原因 #

• 无状态令牌特性：若使用JWT格式的访问令牌，APIM网关默认仅验证令牌签名与过期时间，不会实时查询IS的令牌黑名单（撤销列表），因为JWT本身携带有效期信息，属于无状态校验。
• 网关缓存机制：APIM网关会缓存已验证通过的有效令牌，缓存未过期前，即便令牌已被撤销，仍会被判定为有效。
• 撤销操作未实际生效：虽然API返回成功，但可能存在参数错误——比如传入的token值有误，或使用的clientId:clientSecret与生成令牌的客户端不匹配，导致撤销请求未真正执行。

2. 检查/oauth2/revoke API是否正常工作的方法 #

• 查看IS日志：登录WSO2 IS管理控制台，查看<IS_HOME>/repository/logs/wso2carbon.log，搜索revoke关键字，确认是否存在Token revoked successfully这类成功撤销的日志记录。
• 调用令牌自省API：通过IS的令牌状态校验接口验证令牌是否已被撤销，执行命令：

curl -k -d "token=<ACCESS_TOKEN>&token_type_hint=access_token" -H "Authorization: Basic <BASE64 ENCODED CLIENT_ID:CLIENT_SECRET>" https://<IS_HOST>:<PORT>/oauth2/introspect

返回结果中active字段为false则说明撤销成功；若为true，则撤销未生效。

• 重复链路测试：生成新令牌后立即调用撤销API，再用自省接口校验，同时观察IS日志是否有异常报错。

3. 是否需要配置/oauth2/revoke API #

WSO2 IS默认已启用/oauth2/revoke API，但要让APIM网关识别已撤销的令牌，需额外配置：

• 开启网关黑名单校验：修改APIM网关的deployment.toml文件，添加或配置：

[apim.gateway.enforcer]
enable_token_blacklist_validation = true

• 同步客户端权限：确保生成令牌的客户端与调用撤销API的客户端clientId/clientSecret一致，且客户端默认已具备令牌撤销权限。
• 启用JWT自省校验：若使用JWT令牌，需配置APIM网关将令牌发送至IS的自省API进行实时校验，而非仅本地验证签名，确保能识别已撤销的令牌。

内容的提问来源于stack exchange，提问作者Hareesh