OAuth 2.0 实战：如何正确处理 401 invalid access token or token expired 错误

1次阅读

共计 3022 个字符，预计需要花费 8 分钟才能阅读完成。

在现代微服务架构中，OAuth 2.0 已成为身份验证和授权的标准协议。当客户端使用过期的访问令牌（access_token）请求资源服务器时，就会遇到 401 invalid access token or token expired 错误。这种情况在分布式系统中尤为常见，会导致用户体验中断，尤其是当用户正在执行关键操作时。

典型场景 ：用户长时间停留在页面后提交表单，但此时访问令牌已过期
连锁反应 ：前端需要重新获取令牌，可能导致用户操作数据丢失
系统影响 ：频繁的令牌失效会增加认证服务器压力，降低整体性能

处理令牌过期主要有两种技术路线：

短期令牌 + 刷新令牌（Refresh Token）
优点：安全性高，可灵活控制会话生命周期
缺点：需要维护令牌状态，增加系统复杂度
JWT 自包含令牌
优点：无状态，减少服务端存储压力
缺点：难以主动失效令牌，存在安全风险

生产环境中推荐使用第一种方案，特别是在需要严格安全控制的场景。

Spring Security 5.2+ 提供了完整的 OAuth2 客户端支持。以下是关键配置：

@Bean
public OAuth2AuthorizedClientManager authorizedClientManager(
        ClientRegistrationRepository clientRegistrationRepository,
        OAuth2AuthorizedClientRepository authorizedClientRepository) {

    OAuth2AuthorizedClientProvider authorizedClientProvider = 
        OAuth2AuthorizedClientProviderBuilder.builder()
            .authorizationCode()
            .refreshToken()  // 启用刷新令牌机制
            .clientCredentials()
            .build();

    DefaultOAuth2AuthorizedClientManager authorizedClientManager = 
        new DefaultOAuth2AuthorizedClientManager(
            clientRegistrationRepository, 
            authorizedClientRepository);
    authorizedClientManager.setAuthorizedClientProvider(authorizedClientProvider);

    return authorizedClientManager;
}

创建自定义的 ClientHttpRequestInterceptor 在请求失败时自动刷新令牌：

public class OAuth2RefreshTokenInterceptor implements ClientHttpRequestInterceptor {

    private final OAuth2AuthorizedClientManager authorizedClientManager;
    private final String clientRegistrationId;

    @Override
    public ClientHttpResponse intercept(HttpRequest request, byte[] body, 
            ClientHttpRequestExecution execution) throws IOException {

        try {return execution.execute(request, body);
        } catch (HttpClientErrorException e) {if (e.getStatusCode() == HttpStatus.UNAUTHORIZED) {  // 401 错误
                // 获取新的访问令牌
                OAuth2AuthorizedClient authorizedClient = authorizedClientManager
                    .authorize(OAuth2AuthorizeRequest
                        .withClientRegistrationId(clientRegistrationId)
                        .principal("system")
                        .build());

                // 更新请求头后重试
                request.getHeaders().setBearerAuth(authorizedClient.getAccessToken().getTokenValue());
                return execution.execute(request, body);
            }
            throw e;
        }
    }
}

多个线程同时遇到令牌过期时可能引发 ” 令牌竞争 ” 问题。解决方案：

使用 synchronized 块或 ReentrantLock 保护令牌刷新逻辑
在 Redis 中使用 SETNX 命令实现分布式锁
设置合理的锁超时时间（建议 5-10 秒）

内存存储 ：适合单实例应用，简单但无法扩展
Redis 集群 ：分布式环境首选，注意设置合理的 TTL

防止刷新令牌被暴力攻击：

认证服务器实现令牌端点的速率限制
客户端采用指数退避算法（Exponential Backoff）重试
监控异常刷新行为（如短时间内多次刷新）

CSRF 保护导致刷新失败
问题：Spring Security 默认启用 CSRF 保护

解决：对 OAuth2 令牌端点禁用 CSRF

http.csrf().ignoringRequestMatchers(new AntPathRequestMatcher("/oauth2/token"));

刷新令牌过期
问题：refresh_token 也有有效期
解决：捕获 InvalidTokenException 强制用户重新登录
网络抖动导致刷新失败
问题：认证服务暂时不可用

解决：结合 Resilience4j 实现重试机制

RetryConfig config = RetryConfig.custom()
    .maxAttempts(3)
    .waitDuration(Duration.ofMillis(500))
    .retryOnResult(response -> ((ClientHttpResponse)response)
        .getStatusCode().is5xxServerError())
    .build();

在微服务架构设计中，需要考虑：