access-token - OpenID 连接 session 管理 - 可以撤销 ID token 吗？

Question

在 OpenID Connect 中，ID token 是一种加密签名的自包含 token ，它允许资源所有者在不调用授权服务器的情况下授权访问。那么，如果授权服务器不需要验证 token ，那么如何在 session 管理场景中撤销它呢？似乎唯一可以撤销的是刷新 token ，此时 ID token 刚刚过期，用户将不得不重新进行身份验证。它是否正确？此外，OpenID Connect 提供者/服务器在传递 token 时存储 token 是否有意义？

Answer 1

由于您提到的原因，id_token 不能被显式撤销:它是独立的，可以在不依赖于提供者的情况下使用。然而，Web 应用程序中的典型用法是在收到时使用 id_token 创建应用程序 session ，将来自 id_token 的相关信息存储在 session 中，然后丢弃id_token 本身。该应用程序 session 可以根据提供者的请求通过实现 OpenID Connect session 管理扩展来终止，请参阅:https://openid.net/specs/openid-connect-session-1_0.html .在此 Web SSO 用例中，id_token 生命周期将受到限制，因为它仅供一次性使用。