摘要

  • RFC 9770 的 TRL 让 ACE 参与者取得已撤销、尚未过期令牌的哈希信息；它明确承认资源服务器得知前，原本不应允许的访问仍可能成功。
  • “已撤销”至少要拆成 AS 决定、TRL 更新、通知或轮询、接收、清除本地令牌，以及一次实际资源请求的独立证据。

最容易被误读的是清单里的对象。Token Revocation List 保存的是哈希：它把某个令牌在此机制中的标识列入“已撤销且未过期”的集合。它不是用户身份，不说明撤销的原因，也不是某台设备已经拒绝请求的日志。RFC 9770 本身把“谁如何决定撤销”和 AS 如何获知这一决定排除在规范范围外。清单证明的是 AS 的表示发生了变化，不能替代前面的政策判断。

这份 2025 年 Standards Track RFC 由 Marco Tiloca、Francesca Palombini、Samuel Echeverria 与 Grace Lewis 共同署名。已注册的客户端或资源服务器可经 CoAP 获取 TRL 全量、获取差异，或以 Observe 订阅。每种方式都传递同一种有限信息，却产生不同的时间线。AS 发送 Observe 通知，并不等于目标设备收到了；收到也不等于设备已完成下一次受保护操作的判定。

标准对这种不确定性没有粉饰。它说明网络攻击者可能抑制通知，使请求方永远不知道相关令牌已撤销；因此请求方不应只依赖 Observe，还应按应用策略定期轮询。没有收到回应或收到错误时，请求方不得就撤销或过期作出任何结论。差异更新的历史可以有上限，较早项目可能被删除；完整列表又可能超过受限设备能处理的容量。

真正明确的本地边界出现在相关 TRL 响应抵达之后。设备必须清除与列出哈希关联的已存令牌；资源服务器清除令牌后仍必须保留该哈希。这是一份本地状态改变的规范性要求，但它不能倒推所有通知都已送达，也不能预言所有终端都同步，更不能替代某次请求究竟获准还是被拒的观测。

RFC 9770 直接指出风险窗口：令牌已被撤销而 RS 尚未知情时，客户端仍可尝试访问；若 RS 仍存有令牌，访问可能成功，这属于安全违反。因此，中心清单的“撤销”状态不应被写成端点访问权已经收回的证明。

Heng Lu 所强调的最小公共表面在这里很清楚：TRL 使有限信息可交换；可达性、轮询节奏、缓存变更与访问决定仍属于各台运行中的设备。应在这些地点保留证据。

来源