---
title: "OAuth 实践 — FoxAuth"
description: "FoxAuth 团队关于 OAuth 2.1、OpenID Connect 和自行运行授权服务器的笔记，遇到值得记下的事就写下来。"
canonical: "https://foxauth.dev/zh-cn/blog/"
lastmod: "2026-10-08T16:42:48+03:00"
---
博客
OAuth 实践
构建授权服务器的过程中学到的东西，趁还记得清楚时写下来：协议层面的决策、让我们耗掉一整天的陷阱，以及参考文档回答不了的运维问题。
可以通过订阅源订阅；如果你更想直接上手而不是读文章，请看快速开始指南。

2026-10-08
停用用户并不会终止其访问
在下次登录时才检查的标志会让所有会话和令牌继续有效。本文讲如何立即终止访问、按什么顺序，以及哪些东西仍然够不着。

2026-10-08
Okta 通用登出是一份过期草案
Okta 的 Universal Logout 依据的是一份没人采纳、已经过期的标准草案。Okta 发什么、nbf 时间陷阱，以及任何设置都放宽不了的校验。

2026-10-08
Entra、Okta 的 SCIM 方言
严格遵循互操作规范的 SCIM 服务器，会拒绝 Entra 和 Okta 实际发送的请求。是哪些请求，为什么一个设置就够。

2026-09-30
MCP 服务器必须检查令牌是给谁的
通俗讲解 MCP 授权：MCP 服务器必须发布什么，令牌里哪个字段必须指明它，以及规范留给你的两个问题。

2026-09-29
你的限流器挡不住猜密码
按 IP 地址限流挡得住请求洪泛，挡不住猜密码。登录节流该按什么计数、计数存在哪里，以及我犯过的四个错误。

2026-09-18
DPoP 能防什么，不能防什么
泄露的访问令牌，谁捡到谁就能用。DPoP 把令牌绑定到客户端保管的密钥上。这篇讲它能挡住什么、代价是什么，以及什么时候我不会用它。