在Asp.net-Identity中使OAuth令牌失效

Question

我想使Asp.net-Identity中的不記名令牌失效。我試圖調用UpdateSecurityStampAsync（userId），我可以認爲我的用戶的安全印記更新了。但舊的代幣仍然有效。這隻會使Cookie身份驗證失效嗎？

是否有可能以另一種方式解決它？

Answer 1

開箱即可以使令牌無效，因爲它們是由服務器的機器鍵生成的。

Answer 2

你可以通過在令牌中包含SecurityStamp（或它的一些散列）來做到這一點。然後，您可以創建自己的OnReceive處理程序，並根據數據庫驗證該用戶的SecurityStamp。

這樣做的缺點是你有一個數據庫命中每個請求，所以它首先消除了持有人令牌的一個關鍵好處。

實際上，您會將不記名令牌和刷新令牌的責任組合爲一個令牌。

使用刷新標記代替提交次數要少得多，性能要高得多，它不會真正需要更多編碼，它是一個相當廣泛認可的安全流模型。