oauth - 使用 LinkedIn 和 Oath 强制重新授权

Question

如果可以从 LinkedIn oauth api 强制重新授权(即要求用户名和密码)？

用例:
为了保护敏感数据，万一有人忘记退出，我们网站上的某些操作只能在您使用密码重新验证自己后(即使已登录)才能执行。我们允许使用 LinkedIn 登录，在这种情况下，用户在我们的网站上没有单独的密码。在这种情况下，我们希望从 LinkedIn api 强制重新授权(用户名/密码)，以便用户仍然可以确认他的身份。

这里的重要问题是，它不能仅仅接受，因为用户已经在 LinkedIn 上登录并接受了应用程序，这不会为忘记退出的人提供任何级别的安全性，它必须明确请求授权再次输入密码。

Answer 1

一旦用户登录，除了先将其从 LinkedIn 注销外，无法强制重新询问 OAuth 用户名/密码。

您可以通过打开支持 LinkedIn JSAPI 的站点并让用户“使用 LinkedIn 登录”来查看此操作。完成初始 OAuth 登录/授权后，在同一浏览器中打开一个选项卡并转到linkedin.com - 您也将登录该站点。

在您的情况下，如果用户只是离开计算机而让浏览器保持打开状态，他们仍将同时登录您的网站和 linkedin.com。关闭浏览器，或通过 API 或linkedin.com 站点注销将解决此问题。

一种策略可能是对“敏感”数据的任何访问都会生成注销，这将清除 cookie 但不会清除应用程序授权，然后实例化身份验证对话框:

IN.User.logout();
IN.UI.Authorize().place();

详情 here .我已经对此进行了测试，它似乎运行良好。