OAuth Token认证下规避Android系统时间误差的AccessToken预刷新方案咨询

方案核心思路：用Android单调时间+服务器时间校准，完全脱离用户可修改的系统墙钟时间 #

Android系统提供了SystemClock.elapsedRealtime()方法，返回的是设备开机至今的毫秒数，不会受用户修改系统时间、切换时区的影响，是可靠的时间基准，配合服务器返回的时间校准即可实现准确的token有效期判断。

具体实现步骤 #

• 第一步：搭建时间校准逻辑
  每次收到服务端的正常响应时，提取响应头的Date字段，转换为毫秒级时间戳作为服务器基准时间，同时记录当前的elapsedRealtime()值作为本地基准单调时间，将两个值持久化存储。
• 第二步：实现不依赖系统时间的当前服务器时间计算
  需要获取当前对应服务器时间时，直接用公式计算：
  当前服务器时间 = 服务器基准时间 + (当前elapsedRealtime() - 本地基准单调时间)
• 第三步：提前计算token过期时间
  拿到access token和refresh token时，如果是JWT格式直接解析payload中的exp字段得到过期时间戳；如果是非JWT格式，用获取token接口返回的expires_in字段，叠加当前计算出的服务器时间，得到token的过期时间，持久化存储。
• 第四步：请求前的预检测逻辑
  每次发起API请求前，先计算当前服务器时间，判断access token距离过期是否小于预设的阈值（比如30秒，可根据业务调整），如果符合条件就先触发refresh token刷新逻辑，拿到新的token后再发起原请求。
• 第五步：保留原有401重试逻辑作为兜底
  极端场景下（比如服务端主动吊销token、服务端时间大幅调整）可能出现预检测通过但实际请求返回401的情况，保留原有重试逻辑即可覆盖这类异常。

额外优化点 #

• 每次请求成功后都更新服务器基准时间和本地基准单调时间，避免设备长时间运行导致的时间计算误差
• 对refresh token也用同样逻辑做预检测，如果距离过期不足阈值，可以在用户活跃时段提前刷新refresh token，避免用户无感知过期需要重新登录

内容的提问来源于stack exchange，提问作者Ritt