Alexa关联账户在原账户密码修改后的状态及API处理问询

我来结合OAuth2的授权码（Auth Code）和隐式授权（Implicit）机制，给你拆解这个场景下的核心问题：

1. 关联账户的状态变化 #

默认情况下，用户修改原账户密码不会直接自动解除Alexa的账户关联状态——因为Alexa和你的服务之间的关联是基于OAuth2令牌（Access Token/Refresh Token），而非用户密码本身。不过这里要分两种授权模式来看：

• 对于Auth Code模式：关联依赖Refresh Token来获取新的Access Token，如果Refresh Token未被吊销，Alexa会继续尝试用它刷新令牌，看起来关联状态还在；
• 对于Implicit模式：没有Refresh Token，Access Token过期后关联就会失效，但密码修改本身不会立刻触发这个过程。

2. 访问令牌的有效性 #

这完全取决于你的身份认证服务的配置：

• 如果你的服务在用户修改密码时，主动吊销该用户名下所有未过期的Access Token和Refresh Token（这是安全最佳实践），那么所有关联的令牌都会立即失效；
• 如果没有这个吊销逻辑，Access Token在自身过期时间到来前依然有效，Refresh Token也能正常用来刷新获取新的Access Token。

3. API层面的处理方案 #

你需要从两个核心环节入手：

• 密码修改时的令牌吊销：在用户完成密码修改的逻辑中，一定要添加代码，批量吊销该用户所有关联的有效令牌（包括Access Token和Refresh Token），并维护一个令牌黑名单或失效列表，用于后续校验。
• API请求的令牌校验：每次收到Alexa的API请求时，都要执行以下校验：
  • 检查Access Token是否过期；
  • 检查令牌是否在失效/黑名单列表中；
  • 校验令牌的签名合法性（如果是JWT的话）；
  • 一旦校验失败，直接返回401 Unauthorized状态码，Alexa会自动引导用户重新进行账户关联。
• Refresh Token的处理：针对Auth Code模式，当Alexa使用Refresh Token请求新的Access Token时，你的服务要先检查该Refresh Token是否已被吊销，若已失效则返回错误，触发重新授权流程。

4. 如何感知令牌失效的变化 #

Alexa没有提供主动通知令牌失效的webhook机制，所以主要是被动感知：

• 当Alexa携带失效的令牌调用你的API时，你的校验逻辑会识别到并返回401，此时你就可以记录这个事件，确认该用户的关联令牌已失效；
• 另外，你可以在自己的系统中维护用户令牌的生命周期日志，当用户修改密码时，标记所有相关令牌为失效状态，后续通过日志可以追踪到这个变化。

内容的提问来源于stack exchange，提问作者Guru