撤銷令牌標識服務器OAuth2

Question

我想知道是否可以撤銷由ThinkTecture Identity Server頒發的OAuth 2.0令牌，因爲我想讓我的應用程序註銷。

Answer 1

您是否看了這篇文章（http://leastprivilege.com/2013/11/15/adding-refresh-tokens-to-a-web-api-v2-authorization-server/）？

我引用下面的段落。

一旦令牌發出後，就沒有「內置」方式來撤消它。或換句話說，您需要編寫自己的機制來處理每個請求中經常涉及數據庫檢查的機制。可行 - 但往往會破壞目的。

簡而言之，縮短授權令牌的使用壽命並刪除客戶端中存儲的令牌是適用的解決方案。

Answer 2

只有實現RFC 7009的ThinkTecture Identity Server版本3的最新版本纔可能實現此操作：https://tools.ietf.org/html/rfc7009。請參閱https://github.com/IdentityServer/Thinktecture.IdentityServer3/blob/master/RELEASES.md版本1.1.0的發行說明，其中包含指向https://github.com/IdentityServer/Thinktecture.IdentityServer3/pull/858的鏈接。