如何通过OAuth2/OpenID Connect离线访问令牌判断用户是否禁用？

针对你的场景（公网应用/后台服务，通过AD FS做OIDC认证，需要确认用户AD账户是否仍有效），有几种标准的OAuth2/OpenID Connect方法可以实现，完全符合你“不访问企业内网、仅通过AD FS公开端点操作”的要求：

1. 调用OpenID Connect UserInfo端点验证 #

这是最直接的OIDC标准方法：

• 每次需要验证用户状态时，使用用户的访问令牌调用AD FS的UserInfo端点（默认路径是https://<your-adfs-domain>/adfs/userinfo）
• 如果用户账户仍处于启用状态，AD FS会返回包含用户声明的JSON响应（比如sub、name等）
• 如果用户账户已被禁用，AD FS会返回401 Unauthorized或403 Forbidden状态码——因为即使访问令牌还在有效期内，AD FS会拒绝无效账户的令牌请求

这个方法的优势是简单，不需要额外配置（只要你的客户端应用已被授权访问UserInfo端点，AD FS默认允许），适合后台服务定期验证用户状态。

2. 使用OAuth2令牌自省（Token Introspection）端点 #

基于RFC 7662的标准OAuth2特性，AD FS 2016原生支持这个端点：

• 后台服务可以将用户的访问令牌发送到AD FS的自省端点（默认路径是https://<your-adfs-domain>/adfs/oauth2/introspect）
• 请求需要带上你的客户端ID和客户端密钥（做客户端认证，确保只有授权的服务能调用）
• 端点会返回一个JSON响应，其中的active字段直接标识令牌是否有效：
  • active: true：用户账户有效，令牌当前可用
  • active: false：用户账户已被禁用（或令牌已过期/撤销）

这个方法的优势是能直接获取令牌的有效性状态，而且响应中还会包含额外的令牌元数据（比如过期时间、用户ID等），适合后台服务批量验证令牌的场景。

3. 利用刷新令牌尝试获取新令牌 #

如果你的应用请求了offline_access scope（获取刷新令牌），可以通过刷新流程验证用户状态：

• 当需要验证时，用用户的刷新令牌向AD FS的令牌端点（https://<your-adfs-domain>/adfs/oauth2/token）请求新的访问令牌
• 如果用户账户已被禁用，AD FS会返回invalid_grant错误，明确表示刷新令牌已失效（因为关联的用户账户无效）

这个方法适合需要维持用户会话同时验证状态的场景，比如后台服务定期刷新令牌来确认用户是否仍有效。

AD FS配置注意事项 #

• 确保你的客户端应用在AD FS中已被授予对应权限：比如允许访问UserInfo端点，或者允许调用令牌自省端点（AD FS控制台中可以在客户端应用的“权限”中配置）
• 所有请求都必须使用HTTPS，AD FS默认强制加密通信

结合你的实际场景（后台服务发送通知前验证用户状态），推荐使用令牌自省端点或者定期调用UserInfo端点——这两种方法都能实时验证用户账户状态，不需要依赖令牌过期，完全符合标准OAuth2/OIDC规范，且适配公网环境。

内容的提问来源于stack exchange，提问作者MikeJansen