在 AD B2C 中更改用户密码后如何验证用户 ID 令牌

Question

我正在 AD B2C 本地帐户中创建一个用户，并且能够使用https://login.microsoftonline.com/{{My_Domain_Name}}.onmicrosoft.com/oauth2/token/为创建的用户生成用户 ID 令牌，我是使用此令牌获取用户配置文件https://graph.windows.net/{{My_Domain_Name}}.onmicrosoft.com/users/{{USER_ID}}?api-version=1.6 。 现在，如果我更改用户的密码并保留旧的用户 ID 令牌，我仍然可以访问用户配置文件，是否可以使用旧令牌限制获取用户？

Answer 1

将评论移至答案以供更多人参考。

首先，您使用访问令牌来访问用户配置文件。 无法撤销访问令牌。 但是您可以撤销刷新令牌，然后当旧访问令牌过期时，用户将失去对 AAD 的访问权限。 默认过期时间为 1 小时。

请参阅此处的参考。

因此，在执行上述步骤后，您不能立即使用旧令牌限制 Get User：

对于使用访问令牌的应用程序，当访问令牌过期时，用户将失去访问权限。