azure - 是否可以从客户端撤销 Azure AD ADAL (ios) 刷新 token ？

Question

我正在尝试使用ADALiOS在 iOS 应用程序中。我还想要一个注销按钮，以便在需要时用户可以选择从应用程序注销。我认为最好的方法是撤销刷新 token (访问 token 是短暂的，无法撤销)，理想情况下，这也应该撤销 token 并在服务器端进行清理。

我尝试了 Azure AD 文档，在源代码中搜索(通常在其他地方搜索)，但在 ADAL 中找不到任何有关刷新 token 撤销的提及。

刷新 token 可以在 ADAL 中撤销吗？注销用户的最佳方式是什么？

Answer 1

是的。来自 Best Practices for OAuth 2.0 in Azure AD :

Refresh tokens do not have specified lifetimes. Typically, the lifetimes of refresh tokens are relatively long. However, in some cases, refresh tokens expire, are revoked, or lack sufficient privileges for the desired action. The client application needs to expect and handle errors returned by the token issuance endpoint correctly. When you receive a response with a refresh token error, discard the current refresh token and request a new authorization code or access token. In particular, when using a refresh token in the Authorization Code Grant flow, if you receive a response with the interaction_required or invalid_grant error codes, discard the refresh token and request a new authorization code.

我还记得 Vittorio 在他的博客文章 ( ADAL 3 didn’t return refresh tokens for ~5 months… and nobody noticed ) 中提到 ADAL 3 甚至不返回刷新 token 。我想一般建议是不要在应用程序中依赖刷新 token 。

关于注销用户，请参阅此线程:ADAL: W8.1 app trying to log user out ，尽管此线程适用于 Windows Phone 应用程序。