azure - 注销后，先前捕获的请求在 azure 广告身份验证中仍然有效

Question

我们面临着从应用程序注销的问题。一旦我们注销，那么从浏览器中就完全没问题，但如果我们从某些工具(fidler 或 burp)捕获请求，并使用旧的 cookie 和 session 详细信息再次将请求发送到服务器，则会给出完整的响应。这只能通过任何拦截器工具来实现。我正在使用以下代码从应用程序注销:

Session.RemoveAll();            
 HttpContext.GetOwinContext().Authentication.SignOut(OpenIdConnectAuthenticationDefaults.AuthenticationType,
               CookieAuthenticationDefaults.AuthenticationType);

Answer 1

发生这种情况是因为当您从应用程序中启动注销时，Azure AD 颁发的访问 token 和刷新 token 不会被删除。只要这些 token 没有过期，就可以使用。

基于this ，访问 token 的生命周期是可配置的(我认为默认是 1 小时)，您应该根据您的需要进行设置。

此外，还有一个关于使 token 失效的反馈帖子:https://feedback.azure.com/forums/169401-azure-active-directory/suggestions/19474918-invalidate-jwt-token 。请随意投票支持此功能。