c# - 如何撤销用于阻止用户的引用 token ？

Question

我有一个 Identity Server 4 的实现，它使用 Entity Framework Core 进行持久存储，使用 ASP.NET Core Identity 进行用户管理。由于此 IDS 将支持公共(public)应用程序，我们被要求添加一种完全阻止用户的方法 - 这意味着不允许他们登录并删除他们现有的登录名。

经过长时间的研究，我确定 IDS 不支持过期访问 token 之类的任何东西，因为那不是 OpenID Connect 的一部分。让我感到非常奇怪的是，我将客户端切换为使用正确存储在 PersistedGrants 表中的引用 token ，但即使清除该表也不会使 future 的请求无效，因为用户仍然对客户端应用程序和到身份服务器本身。

是否有任何我可以重新实现的商店/服务来阻止给定登录用户的所有访问？

Answer 1

您还必须清除 cookie。

但您可能想研究一种不同的方法。其中 IdentityServer 用作身份验证服务，授权外包，如 PolicyServer .

这样您就可以选择加入授权，从而降低用户是否仍然通过身份验证的重要性。