Thu hồi Token: khi Access Token đã phát hành không thể gọi lại

Access token tự chứa vẫn sống tới khi hết hạn → cần cơ chế thu hồi chủ động