spring - 注销后删除access_token

Question

我有一个小问题。

目前我的 Spring 配置使用 DefaultTokenServices(由 spring-security-oauth2-2.0.0.M3.jar 提供)。它会正确生成 access_token。

现在我要做的是在注销时取消/删除/移除/撤销此 token 。

在 security.xml 中，我在 http 标记中配置了注销:

<sec:logout logout-url="/logout" logout-success-url="/auth" invalidate-session="true" delete-cookies="true" />

重定向成功。但是，如果我编写一个测试来进行登录、注销，并且在我尝试使用此 access_token 访问受限路径后，我可以获得成功的请求，但我预计会出现未授权错误。为什么？

如何配置自动删除 access_token 以强制重新登录的注销？

Answer 1

access_token 的生命周期独立于授予客户端访问权限的用户的登录 session 。 OAuth2 没有用户登录或注销或 session 的概念，因此您希望注销撤销 token 这一事实似乎表明您误解了 OAuth2 的工作原理。您可能应该在您的问题中澄清为什么您希望事情以这种方式工作以及为什么您需要 OAuth。

如果你真的想要这种行为，那么你必须自己编写代码(例如，在自定义 Spring Security LogoutHandler 中)，但 token 的生命周期通常由其到期时间决定. token 撤销通常是提供给用户的单独界面，允许他们过早地撤销一个或多个客户端对其资源的访问权限——类似于 Twitter 的 third-party applications access。 .