为何撤销同一Google OAuth客户端+用户授权对下的1个令牌会作废全部令牌

核心原因：Google OAuth的授权绑定粒度高于单个令牌 #

Google OAuth 2.0的授权关系绑定的是用户账号 + 你的OAuth客户端ID + 已授权的权限（scope）集合这三个要素构成的整体，而非单个的access token或refresh token。你在用户账号权限页看到的单条应用记录，就是这个授权实体的直观体现，你多次授权拿到的所有不同令牌，都归属于同一个授权实体下。

撤销操作的实际作用范围 #

官方提供的令牌撤销接口，触发的是整个授权实体的解绑，而不是仅作废你传入的单个令牌。只要传入任意一个属于该授权实体的有效令牌，就会解除这个用户对你应用的整体授权，该实体下所有未过期的access token、未失效的refresh token都会同步作废，你收到的invalid_grant错误就是授权实体已被撤销的标准返回。

为什么修改include_granted_scopes参数不影响结果 #

include_granted_scopes仅控制增量授权场景下的权限合并规则，不会改变授权实体的绑定逻辑。只要是同一个用户、同一个OAuth客户端、授权的scope集合没有发生增减，哪怕关闭增量授权，多次下发的令牌仍然归属于同一个授权实体，撤销时依然会全部失效。

优化建议 #

不需要强制限制用户仅能授权一次：

• 常规场景下不需要主动调用令牌撤销接口，access token默认1小时有效期到期后会自动失效，需要续期用refresh token刷新即可
• 如果只是做应用内的用户登出，仅删除本地存储的令牌即可，无需调用Google侧的撤销接口，不会影响其他端的登录状态
• 只有当用户明确要求解绑整个应用时，再调用撤销接口即可

内容的提问来源于stack exchange，提问作者Honinbo Shusaku