Xbox 平台不提供标准的 OAuth2 revoke 端点；撤销访问权限主要通过客户端清除本地令牌 + 引导用户在 Xbox 账户侧手动取消应用授权来实现。
xbox 平台不提供标准的 oauth2 `revoke` 端点；撤销访问权限主要通过客户端清除本地令牌 + 引导用户在 xbox 账户侧手动取消应用授权来实现。
在集成 Xbox Live OAuth（如通过 XSTS 流程获取 X-Auth-Token）后，开发者常误以为需调用类似 https://xsts.auth.xboxlive.com/xsts/revoke 的接口来主动吊销令牌。但需明确：Microsoft 官方未公开或支持任何 Xbox 专用的令牌撤销（token revocation）API。https://xsts.auth.xboxlive.com/xsts/authorize 仅用于令牌交换与身份验证，将其中的 authorize 替换为 revoke 将返回 404 或 405 错误，不可行。
✅ 正确做法分两层：
-
客户端即时失效（推荐首要操作）
在用户点击“退出 Xbox”或“撤销访问”按钮时，立即从本地存储（如localStorage、sessionStorage或后端数据库）中删除所有相关凭证：// 前端示例：清除本地令牌 localStorage.removeItem('xbox_access_token'); localStorage.removeItem('xbox_user_hash'); sessionStorage.removeItem('xsts_token'); -
引导用户在 Xbox 账户中心撤销应用授权（必要补充）
即使客户端清除了令牌，用户此前在 OAuth 授权流程中授予你应用的长期权限（consent）仍保留在 Xbox 账户系统中。要彻底解除绑定，必须由用户本人前往 Xbox 隐私与在线安全设置页 → “管理权限” → 找到你的应用 → 点击“移除权限”。
✅ 建议在前端按钮旁添加清晰提示：“已清除本地登录状态。如需完全撤销本应用对 Xbox 账户的访问权限，请前往 Xbox 账户权限管理页 手动移除。”
⚠️ 注意事项：
- Xbox 不支持 RFC 7009 标准的
POST /revoke接口，切勿尝试构造自定义撤销请求； - 无服务端令牌吊销能力，因此敏感操作（如账号解绑）应结合业务逻辑二次确认；
- 若应用使用 Microsoft Identity Platform（v2.0 endpoint）对接 Xbox（如通过
https://login.microsoftonline.com/{tenant}/oauth2/v2.0/authorize），可调用通用 Microsoft Graph revoke 端点（https://login.microsoftonline.com/{tenant}/oauth2/v2.0/logout仅注销会话，非吊销），但该方式不适用于原生 Xbox Live XSTS 流程； - 所有令牌均设有短有效期（如 XSTS token 默认约 1 小时），过期后自动失效，清除本地缓存即完成有效“软撤销”。
总结：Xbox OAuth 的权限管理是“用户中心化”的——开发者负责安全保管与及时清理令牌，而最终授权控制权始终归属用户及其 Xbox 账户设置。设计撤销功能时，应以用户体验和合规性为先，而非依赖不存在的服务端吊销机制。
