OAuth技术问询：刷新未过期access token时是否需撤销原令牌？

当用Refresh Token刷新未过期的Access Token时，OAuth 2.0核心规范（RFC 6749第6节）并没有明确强制要求撤销关联的原Access Token，这个决策被交给了授权服务器的实现方，具体可结合业务场景选择：

• 高安全需求场景：如果涉及金融、敏感用户数据类业务，建议主动撤销原Access Token。原Token若已泄露，在过期前仍能被用来访问资源，保留两个有效Token会扩大潜在攻击面，提升安全风险。
• 低复杂度优先场景：如果业务对实时安全要求不高，或者Access Token本身有效期较短（比如15分钟以内），也可以选择不主动撤销，等待原Token自然过期。这种方式无需维护Token黑名单或撤销列表，实现成本更低。
• 规范的灵活性：OAuth 2.0规范仅要求刷新流程返回新的Access Token（可选新Refresh Token），对原Access Token的处理没有强制约束，核心是平衡业务安全与实现复杂度。

内容的提问来源于stack exchange，提问作者Kyle McClellan