#jwt

token 到手之后：过期、刷新、撤销分别归谁管

OAuth 只定义怎么拿 token，不管它活多久。各家策略差到 GitHub OAuth App 的 token 默认永不过期；refresh 轮换会导致并发刷新互踩；本站的做法是丢 token 只留自签会话，代价写清楚了。