如何为现有Sign in with Apple用户获取撤销所需access token

问题背景 #

• 接入Sign in with Apple已满1年，前期无对应业务需求，从未使用authorization code兑换access token与refresh token
• 历史用户逻辑仅存储identity token和用户标识符，依托两类信息完成自有服务端的用户注册流程

现存问题 #

• 无法在不要求用户重新登录的前提下，获取可用于撤销操作的access token
• 即使用户退出账号后重新登录拿到新的authorization code，调用令牌兑换接口时仍返回invalid grant错误，提示invalid token或token expired，该路径无法正常使用
• 实测验证：仅当用户手动进入系统设置点击「Stop using App」后，使用新获取的authorization code调用https://appleid.apple.com/auth/token接口，才能在响应中拿到access token和refresh token，且该操作仅首次生效，后续无法复现

核心诉求 #

为存量Sign in with Apple用户获取有效的authorization code，进而拿到可用于撤销操作的access token

可行方案 #

首先明确Apple Sign in with Apple的硬性规则边界：
不存在无感知为存量历史用户补拿有效access token的路径。Apple出于隐私安全要求，对authorization code设置了极短的有效期和单次使用限制，历史登录流程中未及时兑换的code过期后无法找回，同时Apple未开放后台批量查询、生成存量用户令牌的接口，没有规则外的绕过方式。

针对重新登录兑换令牌报invalid grant的问题，优先排查以下配置错误：

• 确认兑换请求参数正确性：client_secret必须使用ES256算法签名，签名密钥为Apple Developer后台生成的Sign in with Apple专用私钥；client_id必须和发起登录的客户端Bundle ID完全匹配，禁止混用测试环境、生产环境配置
• 确认authorization code时效性：code本身有效期仅5分钟，且单次有效，客户端拿到code后需立刻传给服务端发起兑换请求，不得本地存储、延迟传输
• 确认环境匹配：Xcode调试包、TestFlight包拿到的code仅能使用开发环境配置的client_secret兑换，App Store正式包拿到的code必须使用生产环境配置兑换，环境不匹配会直接返回invalid grant

存量用户的令牌获取落地路径：

• 无需强制所有存量用户立刻重新授权，仅需在用户主动触发账号注销、解绑Apple ID的操作节点，引导用户完成一次Sign in with Apple重新授权，拿到实时生成的有效authorization code后立刻完成token兑换，拿到access token后即可正常调用撤销接口
• 后续所有新登录、新授权的用户，服务端收到authorization code后第一时间完成令牌兑换，将refresh token加密存储在服务端，后续需要做令牌校验、撤销操作时，可直接通过refresh token刷新获取有效access token，无需用户重复授权

补充说明：用户手动点击「Stop using App」属于主动解除Apple ID与应用的授权关系，该场景下首次获取的code是授权重连的一次性凭证，本身仅能使用一次，后续重复操作无法拿到有效令牌属于Apple的正常逻辑，并非接口故障。

内容的提问来源于stack exchange，提问作者Rahul Vyas