IdP管理的凭证变更后，RP存储的Access Token需重新签发吗？

这是个很实际的问题，在OAuth2/OpenID Connect的授权码流程里，凭证变更和令牌有效性的关系其实没有绝对的标准答案，得看身份提供商（IdP）的实现策略和具体机制：

• 令牌本身的有效期优先：Access Token是IdP在用户完成认证后颁发的短期凭证，它的有效性主要由自身的过期时间决定。如果令牌还在有效期内，且IdP没有主动撤销它，那么理论上资源提供商（RP）仍然可以用这个令牌访问资源——毕竟OAuth2的设计逻辑是，令牌代表的是颁发时刻的认证结果，而非实时校验用户的账号密码。
• IdP的主动撤销策略：不少IdP会在用户修改账号密码这类敏感操作时，主动撤销该用户名下所有有效令牌（包括Access Token和Refresh Token）。这种情况下，当RP再使用旧令牌请求资源时，会收到invalid_token或类似的错误响应，这时候就必须引导用户重新完成认证流程。
• RP的可选额外校验：如果你的应用涉及高敏感操作（比如资金交易、权限变更），可以在执行这类操作前，主动调用IdP的UserInfo端点或令牌 introspection 端点，校验当前令牌对应的用户状态。如果发现用户凭证已变更，可以主动触发重新登录，但这属于业务层面的增强，并非OAuth2/OpenID Connect规范的强制要求。
• Refresh Token的特殊情况：如果RP存储了Refresh Token，当Access Token过期后尝试刷新时，IdP可能会因为用户凭证变更而拒绝刷新请求。这时候同样需要用户重新认证，获取新的令牌对。

总结一下：OAuth2/OpenID Connect规范并没有强制要求用户凭证变更后立即作废所有有效令牌，具体行为完全由IdP的实现决定。作为RP，最稳妥的做法是做好令牌失效的异常处理——当收到令牌无效的响应时，及时引导用户重新登录即可。

内容的提问来源于stack exchange，提问作者user9849788