FoxAuth 团队关于 OAuth 2.1、OpenID Connect 和自行运行授权服务器的笔记，遇到值得记下的事就写下来。https://foxauth.dev/zh-cnhttps://foxauth.dev/zh-cn/blog/deactivating-a-user-is-not-deprovisioning/https://foxauth.dev/zh-cn/blog/deactivating-a-user-is-not-deprovisioning/在下次登录时才检查的标志会让所有会话和令牌继续有效。本文讲如何立即终止访问、按什么顺序，以及哪些东西仍然够不着。Thu, 08 Oct 2026 00:00:00 GMTdeprovisioningsessionstokensscimFoxAuthhttps://foxauth.dev/zh-cn/blog/okta-universal-logout-is-an-expired-draft/https://foxauth.dev/zh-cn/blog/okta-universal-logout-is-an-expired-draft/Okta 的 Universal Logout 依据的是一份没人采纳、已经过期的标准草案。Okta 发什么、nbf 时间陷阱，以及任何设置都放宽不了的校验。Thu, 08 Oct 2026 00:00:00 GMTlogoutoktafederationsecurityFoxAuthhttps://foxauth.dev/zh-cn/blog/what-entra-and-okta-send-to-scim/https://foxauth.dev/zh-cn/blog/what-entra-and-okta-send-to-scim/严格遵循互操作规范的 SCIM 服务器，会拒绝 Entra 和 Okta 实际发送的请求。是哪些请求，为什么一个设置就够。Thu, 08 Oct 2026 00:00:00 GMTscimprovisioningentraoktaFoxAuthhttps://foxauth.dev/zh-cn/blog/your-mcp-server-is-an-oauth-resource-server/https://foxauth.dev/zh-cn/blog/your-mcp-server-is-an-oauth-resource-server/通俗讲解 MCP 授权：MCP 服务器必须发布什么，令牌里哪个字段必须指明它，以及规范留给你的两个问题。Wed, 30 Sep 2026 00:00:00 GMTmcpresource-indicatorsclient-id-metadata-documentssecurityFoxAuthhttps://foxauth.dev/zh-cn/blog/your-rate-limiter-is-not-a-login-throttle/https://foxauth.dev/zh-cn/blog/your-rate-limiter-is-not-a-login-throttle/按 IP 地址限流挡得住请求洪泛，挡不住猜密码。登录节流该按什么计数、计数存在哪里，以及我犯过的四个错误。Tue, 29 Sep 2026 00:00:00 GMTpasswordsbrute-forcesign-insecurityFoxAuthhttps://foxauth.dev/zh-cn/blog/what-dpop-protects-you-from/https://foxauth.dev/zh-cn/blog/what-dpop-protects-you-from/泄露的访问令牌，谁捡到谁就能用。DPoP 把令牌绑定到客户端保管的密钥上。这篇讲它能挡住什么、代价是什么，以及什么时候我不会用它。Fri, 18 Sep 2026 00:00:00 GMTdpoptokenssecurityFoxAuth