當用戶註銷時，我們是否需要在Windows Identity Foundation的SecurityTokenService中實現一些邏輯？

Question

我正在實施自己的SecurityTokenService，它源自WIF's STS。我是否需要強制實施Cancel方法？

默認情況下Windows Identity Foundation's SecurityTokenService每個呼叫如this article中所述的實例化。如果我沒有明確地緩存任何東西（或者做類似的事情），你是否發現了通過實現Cancel方法應該注意的事情？ STS或WIF在用戶註銷時應該處理的背景中執行什麼操作（調用Cancel方法）？例如如果我正在緩存令牌，那麼當用戶註銷時，我將不得不在緩存中將其從緩存中移除。

Answer 1

這取決於您的實施。如果您的STS沒有實施Validate方法，那麼實施取消沒有意義。

驗證的目的是收件人可以檢查您的STS是否已經吊銷了其過期窗口內的令牌（可能通過取消）。

FWIW，我不認爲AD FS支持取消和驗證。很少有真實世界的架構使用它們。

請注意，當用戶在AD FS中註銷時，它們與AD FS服務器的會話被吊銷。但是，AD FS代表他們發行的任何代幣仍然會被依賴方接受。