如何使用存储在 HttpOnly Cookie 中的令牌注销

Question

我目前正在使用 Microsoft 的 Identity 来帮助我在 Asp .NET Web API 项目中进行身份验证。 我正在生成一个不记名令牌并将其存储在名为AUTH的HttpOnly cookie 中

由于我没有在数据库中存储与令牌相关的任何内容，我该如何注销？ 在我将令牌存储在会话存储中之前，我只是将其删除了客户端，但现在由于我将令牌存储在HttpOnly cookie 中，我无法在客户端执行任何操作。

我是否调用服务器上的路由，该路由使用新的 cookie AUTH响应并且具有空值？ 我试过了，但logout的响应 cookie 似乎并没有取代HttpOnly cookie，它只是创建了一个会话 cookie。

这就是我生成AUTH cookie 的方式

context.Response.Cookies.Append("AUTH", accessToken,
                                new Microsoft.Owin.CookieOptions
                                {
                                     HttpOnly = true,
                                     Expires = DateTime.UtcNow.AddMinutes(5)
                                });

这就是我从logout路由生成响应的方式。

var authCookie = new CookieHeaderValue("AUTH", "");
var xsrfCookie = new CookieHeaderValue("XSRF", "");

ActionContext.Response = new HttpResponseMessage();
ActionContext.Response.Headers.AddCookies(new CookieHeaderValue[] { authCookie, xsrfCookie });

return ActionContext.Response;

出于某种原因，此处返回的 cookie 不会覆盖使用身份验证令牌创建的 cookie。

这是在HttpOnly cookie 中存储身份验证令牌时注销用户的最佳策略吗？

Answer 1

如果您不存储身份验证令牌，则不能使其无效。 因此，您可以强制浏览器从服务器中删除 Cookie。 尝试添加Domain和Path 。 您还可以将Expires时间设置为昨天，以便浏览器在收到 cookie 后立即将其删除。

authCookie.HttpOnly = true;
authCookie.Expires = DateTime.UtcNow.AddDays(-1);
authCookie.Domain = "localhost";
authCookie.Path = "/";

xsrfCookie.Expires = DateTime.UtcNow.AddDays(-1);
xsrfCookie.Domain = "localhost";
xsrfCookie.Path = "/";

Answer 2

一个解决方案似乎是存储一个额外的（非 HTTPOnly）cookie，它有一个“签名”，可以验证原始 HttpOnly cookie 是否仍然有效。

在后端，您应该检查 HttpOnly cookie 是否有效，并检查非 HttpOnly cookie 的值（签名），以便您知道客户端是否已使其无效。 有很多技术可以做到这一点。 只要确保您无法使用非 HttpOnly cookie 获取 HttpOnly cookie 的内容。

另一种解决方案是在用户注销时添加一个新的 cookie/本地存储，如“has_logout”，然后在下一个成功请求时，如果“has_logout”为真，则应调用 /logout 端点。

希望这是有道理的