【身份与访问控制工程】Session、Refresh Token 与吊销体系
JWT 的无状态签发解决了分布式认证的扩展性，但也把吊销这件事推回到了工程师面前。一个短期 access token 配长期 refresh token 的混合架构，在 Google、Auth0、Keycloak、AWS Cognito 的实现里趋同收敛，但细节差异能决定系统在被攻击时是多丢一个账号还是多丢一百万。本文把 refresh token rotation、reuse detection、family-based abort、OIDC back-channel logout、Redis 黑名单、Bloom filter 加速、批量吊销场景拆开讲清楚。