僅Oauth撤銷訪問令牌

Question

我正在使用OAuth 2.0登錄我的網站中的用戶。 就像任何類型的網站一樣，例如Google，Asana等。

我想知道的是，是否有一種方法可以在用戶注銷時僅撤銷訪問令牌而不是刷新令牌。

這是我的工作：

當用戶登錄時，我創建一個會話並獲取訪問令牌（如果用戶是首次登錄，則獲取刷新令牌）。 當用戶注銷時，我只是使會話無效，但訪問令牌仍然有效。

當然，一段時間后或當用戶再次登錄Web應用程序時，訪問令牌將失效，但我想知道的是在注銷過程中訪問令牌是否可以失效。

Answer 1

對於令牌撤銷行為wrt的實現，沒有通用的答案。 相關令牌是特定於授權服務器的。 Google會將刷新令牌和被撤消的訪問令牌一起無效，其他實現可能選擇不這樣做。 其他實現可能甚至根本不提供撤銷訪問令牌的方法。

對於Google，您可以按照https://developers.google.com/accounts/docs/OAuth2WebServer#tokenrevoke中所述在注銷后撤消訪問令牌，但也會撤消關聯的刷新令牌。 然后，您必須再次執行授權代碼流程，以獲取新的刷新令牌，可以將其與prompt=none一起嘗試，以避免提示用戶。