访问令牌不应该创建一次就永久不管。自部署者需要知道“续期”“撤销某项权限”“结束机器会话”和“删除令牌”分别影响什么，才能在不中断无关服务的情况下处理到期与泄漏。

正常到期前使用续期

在“设置 → 访问令牌”选择新的有效期并点击续期。xypass 会生成新的 auth_token 和一次性凭据包，同时保留令牌身份、capability key 与现有 Vault/Item 授权。

旧凭据、已有 PAT Session 和关联的旧自动化设备会立即失效，所以续期不是一段允许新旧值同时工作的宽限期。先安排维护窗口、暂停任务，再续期并把新凭据一次性更新到该令牌的全部安装位置，最后执行最小读写验证。

如果多个独立服务因为共享一个 PAT 而无法同时替换，这正说明它们应该拆成不同令牌。

不再需要某个目标时撤销授权

撤销一条 Vault 或 Item 授权，只移除该目标，不改变同一 PAT 的其他授权。适合项目结束、配置拆分或把任务从整库收窄到单条 Item。

撤权会阻止后续服务端访问，但不能远程删除程序已经解密并写入日志、缓存或下游系统的数据。敏感目标还要检查自动化输出和运行环境。

临时停止当前进程时结束机器会话

机器会话使用短时 Access Token 和轮换 Refresh Token。客户端退出时可以撤销当前会话，但只要 PAT 本身仍然有效，持有完整凭据的程序仍可以建立新会话。这适合正常登出，不适合处理凭据泄漏。

服务下线或怀疑泄漏时删除令牌

删除 PAT 会立即撤销它的授权、全部机器会话和关联自动化设备，原凭据不能再次登录。服务永久下线、负责人无法确认、凭据进入日志或 Secret Store 权限失控时，应选择删除，而不是只结束会话。

如果 capability key 可能泄漏，删除令牌仍无法召回对方已经取得的明文或旧目标密钥。高风险情况下需要轮换对应 Vault/Item Key，并更换目标系统中的真实密码、Token 或证书。

建立可执行的维护清单

每个 PAT 至少记录用途、服务负责人、目标范围、角色、Secret Store 位置、到期时间和最后一次验证。定期检查 Web App 中的最后使用时间；长期未使用、名称含糊或已经没有负责人的令牌直接撤销。

轮换成功的标准不是“新文件已经上传”，而是新凭据能够完成预期操作、旧凭据明确失败、无关 PAT 仍正常工作，并且日志中没有出现完整凭据。