azure - 撤销 Azure AD B2C 上的刷新 token

Question

我不知道在以下情况下是否有撤销刷新 token 的解决方案:- 用户使用重置密码策略重置自己的密码？- 用户使用基于 Graph API 的特定表单更改自己的密码？

我认为出于安全原因必须实现它，但我不知道目前是否可行，如果不可行的话什么时候可以实现？

提前致谢

Answer 1

我发现了与您的问题类似的问题Costs of B2C and Refresh tokens 。

另一个问题的答案的基本部分是:

The log out the web application won’t revoke the token. Azure AD doesn’t support revoking the token at present. However, we can clear the token cache if you doesn’t want users to user the token.

我使用 Azure AD Graph API 做了一些自己的测试，但无法使刷新 token 过期，即使在重置访问资源的用户的密码时也是如此。

据我所知，目前似乎没有任何方法可以使 token 过期，除非联系 Azure 支持并让他们使 token 过期。