Refresh Token与Access Token 1:1映射实现是否需服务端维护状态

1. 异常检测逻辑是否要求服务端为Refresh Token维护状态？ #

是，该检测逻辑必须要求服务端维护Refresh Token的状态。
核心逻辑的判断前提是：服务端需要知道当前Refresh Token是否还关联着未过期的Access Token，才能识别出「Access Token未过期就发起刷新」的异常行为。这些信息不可能完全从客户端提交的令牌本身获取，必须依赖服务端存储的状态记录。 #

2. 该实现不属于无状态方案，是否是行业通用共识？ #

这确实是当前行业的通用共识。
无状态认证的核心定义是：服务端不存储任何和用户会话相关的信息，所有认证校验所需的信息全部包含在客户端提交的令牌本身中。只要服务端需要为Refresh Token存储关联状态、有效状态，不管存储介质是数据库还是缓存，都属于有状态实现。目前主流OAuth2实现中，所有带有Refresh Token防窃取检测能力的方案，均为有状态实现。 #

3. 1:1映射的实现是否要求服务端存储每个Refresh Token关联的当前有效Access Token？ #

不需要存储完整的Access Token，仅需存储核心判断依据即可：

• 最低要求存储：当前Refresh Token关联的有效Access Token的过期时间、唯一标识（如JWT的jti字段），即可完成异常行为的判断
• 如需更高安全性，可额外存储Access Token的哈希值，用于防篡改校验，不属于必须要求

4. 是否存在对应的无状态实现方式？ #

不存在。
该方案的核心是异常行为的追溯和拦截，所有判断依据如果全部写入Refresh Token的明文/加密payload中，都会面临两个无解的问题：

• 如果不加签名防篡改，窃取者可以直接修改Refresh Token中关联的Access Token过期时间，绕过异常检测
• 如果加签名防篡改，每次刷新后需要重新签发Refresh Token，还是无法解决同一个Refresh Token被多方同时提交刷新的问题，没有服务端状态根本无法判断该Refresh Token是否已被用来发起过刷新请求

内容的提问来源于stack exchange，提问作者Evan