WSO2 - 之前發布的 oAuth2 令牌即使沒有過期也無效

Question

我有以下使用相同客戶端 ID 和客戶端密碼的場景：

獲取令牌 1 並致電 API A - 按預期工作。

獲取令牌 2 並致電 API B - 按預期工作。

Go 返回並使用令牌 1 調用 API A。我收到錯誤消息“無效的 JWT 令牌。確保您提供了正確的安全憑證”。

這是否意味着一旦發布新令牌，所有以前的令牌都會失效？ 即使它還沒有到期？

如果我使用不同的客戶端 ID 和客戶端密碼，我就不會遇到這個問題。

添加 scope 沒有任何區別。

Answer 1

當您使用應用程序訂閱一個 API 並生成令牌時，您可以使用相同的令牌調用另一個使用相同應用程序訂閱的 API。

如果為新訂閱的API重新生成token，那么之前的token就會失效。

Answer 2

我相信這是 WSO2 APIM 和 IS 的 JWT 令牌流的設計。 在給定時間，對於單個客戶端 ID、秘密對，應該只有一個活動令牌 JWT。

理想情況下，由於令牌沒有過期，它應該返回相同的令牌，但是由於 JWT 的大小，將整個令牌存儲在持久層中是不切實際的。 相反，僅記錄 JTI 值，僅憑它，KM 無法在第二個令牌調用中生成相同的令牌。 相反，它會撤銷前一個令牌並生成一個新令牌。

Answer 3

來自我的 DevOps 團隊：長話短說，設備范圍沒有被列入白名單。 該配置以前不存在。 我們將配置添加到 Identity Server，現在設備范圍已列入白名單。

我現在可以通過為每個調用添加一個唯一的范圍來實現我的目標。