对接第三方接口时，Token 相关问题的完整排查手册
Access Token 是第三方 API 的"临时通行证"。理解其生命周期，是排查所有 Token 问题的基础。
遇到 Token 相关报错时，按以下流程逐步排查，可覆盖 90% 以上的场景。
| 类别 | 检查项 | 重要度 |
|---|---|---|
| 存储 | Token 不存储在前端 LocalStorage，使用 HttpOnly Cookie | 必须 |
| 传输 | 只在 HTTPS + Authorization Header 中传递 Token | 必须 |
| 刷新 | 实现单飞模式的 Token 自动刷新机制 | 必须 |
| 过期 | 捕获 401 后自动刷新并重试原请求（最多 1 次） | 必须 |
| 日志 | 日志中 Token 内容必须脱敏（只显示前 6 位 + ***） | 必须 |
| 环境 | 多环境 Token 存储 Key 区分，切换环境时清除旧 Token | 推荐 |
| 时钟 | 服务器启用 NTP 同步，JWT 验证设置时钟容忍度 | 推荐 |
| 权限 | 授权时申请最小必要 Scope，定期审查权限范围 | 推荐 |
| 吊销 | 退出登录时主动调用 Token Revocation 端点 | 可选 |
| 监控 | 监控 Token 刷新失败率和 401 错误率，设置告警 | 推荐 |
🔑 Access Token 对接问题全景指南
自包含单文件 · 零外部依赖 · 交互式可视化