被盗的访问令牌提交至服务器后，刷新令牌是否仍会签发新的访问令牌？

哈哈，这个问题问到点子上了，先给你理清楚核心逻辑——其实这里有个容易混淆的关键误解：访问令牌和刷新令牌的用途是完全分开的，服务器根本不会因为收到一个访问令牌（哪怕是有效的）就给你签发新的访问令牌。

咱们一步步拆解你的场景：

• 首先，访问令牌的唯一作用是访问受保护的API/资源，比如拿着它去请求用户资料、提交订单这类操作。当服务器收到访问令牌时，只会验证它的签名、有效期、权限范围，然后决定是否允许你访问资源，绝对不会触发“发新令牌”的流程。
• 而刷新令牌的专属作用才是获取新的访问令牌。只有当客户端拿着有效的刷新令牌（注意是刷新令牌本身），去调用专门的刷新接口（比如/api/token/refresh）时，服务器才会检查这个刷新令牌的有效性：比如它是否在服务器的有效刷新令牌列表里、是否和对应的用户/设备绑定、有没有被提前撤销。只有这些条件都满足，服务器才会签发新的短期访问令牌。

那回到你的假设场景：如果攻击者偷了你的访问令牌，他能用这个令牌做的，只是在令牌过期前访问你的资源，但因为访问令牌是短期的，这个危害的时间窗口很小——这也是我们坚持用短寿命访问令牌的核心原因之一，就是把被盗后的影响降到最低。

那什么时候会出现真正的风险？只有当攻击者同时拿到了你的刷新令牌时，才可能不断刷新出新的访问令牌。这时候就需要额外的防护手段来兜底：

• 把刷新令牌存在HttpOnly+Secure的Cookie里，避免前端JS能读取到，从源头减少被盗风险；
• 刷新令牌和用户的IP、设备指纹绑定，只有相同环境的请求才会被服务器认可；
• 采用刷新令牌旋转机制：每次刷新时，服务器会签发新的刷新令牌，同时废掉旧的，就算旧的被盗也失去了作用；
• 给用户提供主动撤销令牌的入口，一旦发现异常可以立即作废所有有效令牌。

总结一下：单纯被盗的访问令牌提交给服务器，完全不会触发新访问令牌的签发——因为服务器发新访问令牌的触发条件是携带有效刷新令牌的请求，而不是访问令牌本身。

备注：内容来源于stack exchange，提问作者Srijan Srivastav