在 AD B2C 中更改用戶密碼后如何驗證用戶 ID 令牌

Question

我正在 AD B2C 本地帳戶中創建一個用戶，並且能夠使用https://login.microsoftonline.com/{{My_Domain_Name}}.onmicrosoft.com/oauth2/token/為創建的用戶生成用戶 ID 令牌，我是使用此令牌獲取用戶配置文件https://graph.windows.net/{{My_Domain_Name}}.onmicrosoft.com/users/{{USER_ID}}?api-version=1.6 。 現在，如果我更改用戶的密碼並保留舊的用戶 ID 令牌，我仍然可以訪問用戶配置文件，是否可以使用舊令牌限制獲取用戶？

Answer 1

將評論移至答案以供更多人參考。

首先，您使用訪問令牌來訪問用戶配置文件。 無法撤銷訪問令牌。 但是您可以撤銷刷新令牌，然后當舊訪問令牌過期時，用戶將失去對 AAD 的訪問權限。 默認過期時間為 1 小時。

請參閱此處的參考。

因此，在執行上述步驟后，您不能立即使用舊令牌限制 Get User：

對於使用訪問令牌的應用程序，當訪問令牌過期時，用戶將失去訪問權限。