Apple账号删除新要求及Sign in with Apple令牌撤销问题咨询

集成Sign in with Apple的应用必须满足Apple的账号删除强制要求，核心流程共两步：

• 撤销用户关联的Apple登录令牌
• 删除该账号绑定的所有业务数据
  目前第二步业务数据删除的实现逻辑开发者普遍已经梳理清楚，针对第一步令牌撤销环节的高频疑问，解答如下：

问题1：https://appleid.apple.com/auth/revoke接口传错client_id也返回200，能否通过令牌访问校验的方式验证撤销是否成功？ #

Apple这个接口返回200不代表业务处理成功，这个设计确实是出于安全防探测考虑，避免攻击者通过接口返回差异遍历试探有效的client_id、用户令牌等敏感参数。
完全可以通过令牌有效性校验验证撤销结果，实操逻辑非常明确：

1. 调用撤销接口拿到200响应后，携带同一用户令牌、对应正确的client_id调用日常登录用的令牌校验接口，验证该identityToken是否还有效
2. 如果校验接口返回令牌无效类错误，说明撤销已经生效；如果仍然返回令牌有效，证明之前的撤销请求参数存在问题，排查修正后重试即可。
   注意校验时必须使用对应应用的正确client_id，否则校验结果本身不具备参考性。

问题2：令牌撤销流程可以放在App端实现、完成后再请求后端删数据吗？还是全流程放后端更合理？ #

绝对不要把令牌撤销流程放在客户端实现，全流程必须放在服务端完成，核心原因有两点：

1. 调用撤销接口必须携带client_secret参数，该参数是使用开发者账号私钥签名生成的JWT，私钥绝对不能下发到客户端。一旦私钥或者生成好的长期secret泄露，攻击者可以随意撤销任意用户的登录令牌，安全风险完全不可控。
2. 客户端实现的流程没有可靠性保障：如果用户在客户端完成令牌撤销后，还没等后端发起数据删除请求就出现杀进程、断网等情况，就会出现令牌已撤销但业务数据未删除的不一致问题，完全不符合Apple的审核要求，提审大概率被拒。
   标准合规流程是：用户在端内触发账号删除申请→完成账号身份校验（短信/邮箱验证码、支付密码校验等，和其他高危操作的校验等级保持一致）→校验通过后由后端调用Apple撤销接口→确认令牌撤销成功后，删除该账号关联的所有业务数据→最后向前端返回删除成功的结果。

问题3：每次发起账号删除请求都需要重新生成client_secret吗？把secret的max-age设为6个月有没有安全隐患？ #

不需要每次请求都重新生成client_secret，但直接把有效期设为最长的6个月存在明确的安全隐患，不推荐这么做。
实操层面的最佳实践：

• 生成的client_secret可以存在服务端缓存或配置中心，设置比JWT自身有效期短12-24小时的缓存时间，到期前自动重新生成新的secret即可，不需要每次请求都重复做签名计算，不会额外增加性能开销。
• client_secret的有效期建议设置为7-30天即可，不要拉满到6个月：该参数在有效期内可以调用Apple所有需要服务端鉴权的接口，包括撤销用户令牌、生成访问令牌等，一旦发生泄露，有效期越长，攻击者可利用的风险窗口就越大，短有效期可以把泄露后的损失降到最低。

相关参考问题：

• 无法删除通过Apple登录的用户账号
• iOS端处理账号删除时，如何验证appleid.apple.com/auth/revoke令牌撤销API调用成功
• 如何获取appleid.apple.com/auth/revoke接口所需的client_id与client_secret参数值
• 如何构造Apple Sign In令牌撤销POST请求

内容的提问来源于stack exchange，提问作者Muhammad Waqas Ilyas