短期令牌通过 STS（Security Token Service）等机制签发，有效期从几分钟到几小时，并绑定特定权限范围，攻击者拿到过期令牌后无法复用。