Android 登录状态管理（Token 自动注入 + 刷新 + 并发失效处理）

登录功能真正困难的部分，通常不是登录接口本身，而是登录成功后的长期状态管理。

一个只在 Demo 中可用的实现，往往会把 Token 保存到变量中，然后在每个 Retrofit 接口调用前手动添加请求头。接入真实项目后，很快就会遇到这些问题：

• 每个请求都要重复拼接 Authorization；
• Access Token 过期后，大量并发请求同时返回 401；
• 多个请求各自刷新 Token，造成重复刷新甚至互相覆盖；
• 刷新接口自己又触发 401，形成无限递归；
• 某个旧请求刷新完成后，把更新后的登录状态错误清除；
• 断网导致刷新失败，却被当成 Refresh Token 失效强制退出；
• Token 写入日志、普通 Preferences 或外部存储，形成安全风险。

本文使用 OkHttp 的 Interceptor 与 Authenticator，搭建一套可以落地的登录状态管理方案：

业务请求
   ↓
BearerTokenInterceptor 注入当前 Access Token
   ↓
Server
   ├── 2xx → 正常返回
   └── 401 → TokenAuthenticator
                  ↓
          双重检查当前 Token
                  ↓
          同一时刻只刷新一次
                  ↓