使用WSO2 Identity Server时旧令牌过期后无法获取新访问令牌求助

这问题我之前做微服务网关OAuth2转发时碰到过类似的，核心问题基本都是旧令牌被某个环节缓存住了，没有被新刷新的令牌覆盖，给你几个具体的排查方向和解决办法：

1. 检查令牌存储的更新逻辑 #

首先，确认你的OAuth2AuthorizedClientService（不管是内存版还是数据库版）在令牌刷新后，有没有正确保存新的授权客户端信息。很多时候是刷新流程只拿到了新令牌，但没把它更新到存储里，导致后续请求还是从存储里取启动时的旧令牌。

比如用内存存储的话，刷新后一定要调用saveAuthorizedClient：

OAuth2AuthorizedClient newAuthorizedClient = authorizedClientManager.authorize(authorizedClientRequest);
authorizedClientService.saveAuthorizedClient(newAuthorizedClient, authentication);

可以加日志打印每次刷新后的令牌过期时间，对比一下是不是真的更新了：

log.debug("刷新前令牌过期时间：{}", oldClient.getAccessToken().getExpiresAt());
log.debug("刷新后新令牌过期时间：{}", newClient.getAccessToken().getExpiresAt());

2. 排查请求链路上的令牌缓存 #

有时候自定义的过滤器、拦截器或者业务组件会在启动时就获取一次令牌，然后缓存起来一直用，不会去实时检查令牌是否过期。

比如检查有没有类似这样的错误代码：

// 错误示例：启动时初始化一次，之后一直用
private static String cachedToken = fetchTokenAtStartup();

public String getToken() {
    return cachedToken;
}

这种情况要改成每次使用前先检查令牌是否过期，过期就触发刷新，再返回新令牌。

3. 验证OAuth2TokenRelayFilter的执行时机和上下文 #

确保OAuth2TokenRelayFilter在过滤器链中的位置是正确的——它应该在需要转发令牌的过滤器之前执行，而且每次请求都会触发它的令牌检查逻辑。

比如在Spring Cloud Gateway里配置的话，要保证它在GatewayFilter之前，并且是针对所有需要转发的路由生效：

@Bean
public OAuth2TokenRelayFilter tokenRelayFilter(OAuth2AuthorizedClientManager authorizedClientManager) {
    return new OAuth2TokenRelayFilter(authorizedClientManager);
}

@Bean
public RouteLocator customRouteLocator(RouteLocatorBuilder builder) {
    return builder.routes()
        .route("service_route", r -> r.path("/api/**")
            .filters(f -> f.filter(tokenRelayFilter(null)))
            .uri("lb://your-service"))
        .build();
}

另外，检查SecurityContextHolder的线程模式，如果是多线程环境，要确保子线程能继承父线程的安全上下文，避免拿到旧的令牌信息：

// 配置成可继承的线程上下文模式
SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL);

4. 确认refresh_token的生命周期 #

还有一种可能是初始的refresh_token已经过期了，导致无法再刷新出新的access_token。这种情况下，你需要检查授权服务器的refresh_token过期策略，以及你的程序是否在refresh_token过期前触发了刷新（一般要在access_token过期前几分钟就尝试刷新）。

可以在日志里打印refresh_token的过期时间，确认它是不是还有效：

log.debug("当前refresh_token过期时间：{}", authorizedClient.getRefreshToken().getExpiresAt());

最后总结 #

这个问题的核心就是启动时的第一个令牌没有被后续刷新的令牌替换掉，要么是存储没更新，要么是某个环节缓存了旧令牌。按照上面的步骤逐一排查，应该能快速定位到问题点。

内容的提问来源于stack exchange，提问作者iito