oauth-2.0 - oauth2.0 中的访问 token 是否应在注销时过期

Question

我正在尝试实现 Oauth 2.0 提供程序。我对访问 token 授予感到困惑。我在 node.js 中使用 oauth2orize 模块。

当用户从身份验证服务器注销时，我是否应该删除与特定用户相关的所有访问 token ？我正在为浏览器构建移动和单页应用程序，并且正在使用资源所有者密码凭证流。访问 token 应该在多长时间内有效，并在注销时过期？

Answer 1

通常，应用程序会在执行注销之前撤销访问 token 。通常，如果应用程序获得一个刷新 token ，它将撤销它，因为这也会使任何和所有访问 token 无效。
从授权服务器的角度来看，我会将这些东西分开并实现两者:

撤销 ( RFC 7009 )

注销 ( OpenID Connect )

然后，客户可以根据需要使用其中一个/两个。如果您的环境中有一些限制，您可以在您的授权服务器注销期间自动撤销 token 。但一般来说，它应该允许两者独立使用并让客户控制。