如何使已颁发的Refresh Token失效，提升Azure AD OAuth2.0认证安全性

针对已发放的Microsoft OAuth2 Refresh Token，可通过以下几种方式使其失效，阻止用户通过刷新请求获取新的Access Token：

• 撤销用户所有会话：在Azure AD的用户管理页面，找到目标用户后进入「会话」选项，点击「撤销所有会话」。该操作会立即使该用户名下所有已发放的Refresh Token失效，用户再调用刷新请求时会返回invalid_grant错误。注意此操作会影响用户在所有应用中的会话，需提前评估影响范围。

• 重置用户密码：用户密码重置后，所有关联的Refresh Token会自动失效。这是彻底的处理方式，但会影响用户正常登录，适合高风险场景下的紧急处置。

• 撤销用户对应用的权限授予：在Azure AD的「企业应用」或「应用注册」中找到目标应用，进入「用户和组」模块移除对应用户的权限，或直接撤销用户对该应用的全部授权。此时用户使用旧Refresh Token请求时，会因权限不足被拒绝。

• 通过Microsoft Graph API批量吊销：调用POST /users/{user-id}/revokeSignInSessions接口，效果与界面操作一致，适合批量处理或自动化场景。示例请求：

  POST https://graph.microsoft.com/v1.0/users/{user-id}/revokeSignInSessions
  Content-Type: application/json
  

实践经验总结 #

实际场景中优先推荐撤销用户会话或撤销应用权限，这两种操作精准度更高，不会影响用户在其他应用中的正常使用。批量处理时用Graph API效率更高。同时需确保已移除offline_access权限范围，避免新的Refresh Token生成；另外要持续监控令牌请求日志，验证旧Refresh Token的失效效果，确保安全策略落地。

内容的提问来源于stack exchange，提问作者user000682