OAuth 동의 앱을 비활성화했는데 기존 refresh 토큰이 계속 새 access 토큰을 발급

An OAuth consent app was disabled, but an existing refresh token continues minting new access tokens because revocation was never triggered 상황에서 treat application disablement and token revocation as separate controls를 중심으로 원인을 좁혀가는 시나리오입니다.