如何使用Golang SDK撤销Okta的access token

Okta 官方 Golang SDK 未直接封装 Access Token 撤销的专用API，你可以通过调用 Okta 标准 OAuth 2.0 撤销端点完成实现，以下是两种可行的实现方案：

前置准备 #

• 你的 Okta 租户域名，格式为 https://<租户标识>.okta.com
• 对应 OAuth 应用的 client_id，机密类型应用还需提供 client_secret
• 待撤销的有效 Access Token

方案1：原生HTTP请求实现（无SDK强依赖） #

直接调用 Okta 公开的撤销端点，不需要依赖 Okta SDK 额外封装能力：

package main

import (
	"fmt"
	"net/http"
	"net/url"
	"strings"
)

// RevokeOktaAccessToken 撤销Okta Access Token
// oktaDomain: Okta租户域名，如https://xxx.okta.com
// clientID: OAuth应用client_id
// clientSecret: 机密类型应用传对应secret，公共应用传空字符串即可
// tokenToRevoke: 待撤销的access token
// authServerID: 自定义授权服务器ID，用默认授权服务器传空字符串即可
func RevokeOktaAccessToken(oktaDomain string, clientID string, clientSecret string, tokenToRevoke string, authServerID string) error {
	var revokeEndpoint string
	if authServerID == "" {
		revokeEndpoint = fmt.Sprintf("%s/oauth2/v1/revoke", oktaDomain)
	} else {
		revokeEndpoint = fmt.Sprintf("%s/oauth2/%s/v1/revoke", oktaDomain, authServerID)
	}

	// 构造表单参数
	formData := url.Values{}
	formData.Set("token", tokenToRevoke)
	formData.Set("token_type_hint", "access_token")
	formData.Set("client_id", clientID)
	if clientSecret != "" {
		formData.Set("client_secret", clientSecret)
	}

	// 发起POST请求
	req, err := http.NewRequest("POST", revokeEndpoint, strings.NewReader(formData.Encode()))
	if err != nil {
		return err
	}
	req.Header.Set("Content-Type", "application/x-www-form-urlencoded")

	httpClient := &http.Client{}
	resp, err := httpClient.Do(req)
	if err != nil {
		return err
	}
	defer resp.Body.Close()

	if resp.StatusCode != http.StatusOK {
		return fmt.Errorf("token撤销失败，响应状态码：%d", resp.StatusCode)
	}
	return nil
}

方案2：复用现有Okta SDK客户端 #

如果项目已经引入了Okta官方Golang SDK，可以直接复用SDK内置的请求执行器，不用额外配置HTTP客户端：

package main

import (
	"context"
	"fmt"
	"net/url"
	"strings"

	"github.com/okta/okta-sdk-golang/v2/okta"
)

func RevokeTokenWithSDK(ctx context.Context, oktaClient *okta.Client, clientID string, clientSecret string, tokenToRevoke string, authServerID string) error {
	var endpointPath string
	if authServerID == "" {
		endpointPath = "/oauth2/v1/revoke"
	} else {
		endpointPath = fmt.Sprintf("/oauth2/%s/v1/revoke", authServerID)
	}

	formData := url.Values{}
	formData.Set("token", tokenToRevoke)
	formData.Set("token_type_hint", "access_token")
	formData.Set("client_id", clientID)
	if clientSecret != "" {
		formData.Set("client_secret", clientSecret)
	}

	req, err := oktaClient.GetConfig().RequestExecutor.NewRequest(ctx, "POST", endpointPath, strings.NewReader(formData.Encode()))
	if err != nil {
		return err
	}
	req.Header.Set("Content-Type", "application/x-www-form-urlencoded")

	resp, err := oktaClient.GetConfig().RequestExecutor.Do(ctx, req, nil)
	if err != nil {
		return err
	}
	defer resp.Body.Close()

	if resp.StatusCode != 200 {
		return fmt.Errorf("token撤销失败，响应状态：%s", resp.Status)
	}
	return nil
}

结果校验 #

撤销完成后，你可以调用 Okta 自省端点 /oauth2/v1/introspect 传入token查询状态，返回结果中active字段为false即代表撤销成功。

内容的提问来源于stack exchange，提问作者Ankit Malik