oauth-2.0 - 如何使用 PingFederate 撤销访问 token

Question

PingFederate(版本 7.1.3.1)上是否有任何端点可供我们用来撤销 OAuth 访问 token ？

Answer 1

PingFederate 7.2(及更高版本)中的某些功能可以实现此目的。请参阅:https://support.pingidentity.com/s/document-item?bundleId=pingfederate-93&topicId=wmo1564003025254.html (支持 RFC7009 - 需要提供现有的访问 token 或刷新 token )

和:https://support.pingidentity.com/s/document-item?bundleId=pingfederate-93&topicId=rlc1564003026400.html (用于撤销“持久授权”的 API，这可能会影响之前颁发的访问 token ，具体取决于配置)

您可能已经知道，自最初的 OAuth 功能以来，产品中还存在一个面向最终用户的授权管理页面。请参阅:https://support.pingidentity.com/s/document-item?bundleId=pingfederate-93&topicId=yjb1564003025319.html

如果您的访问 token 设置为基于引用的 token ，则验证(通过 the introspection endpoint )将显示，如果支持持久授权(通常意味着刷新 token )被撤销，它们将不再有效。如果您使用 JSON Web token (JWT) 格式的访问 token ，并且希望撤销持久授权来影响它们，请确保其中包含访问授权 GUID(请参阅访问授权 GUID 声明名称 here )并且您进行基于 token 端点的验证(不仅仅是在 RS 中本地验证 JWT 上的签名)。