access-token - 有没有办法撤销其他用户的访问 token 并结束他们在 Identity Server 4 中的 session ？

Question

是否有推荐的方法来撤销其他用户在 Identity Server 4 中的访问权限？我正在查看的用例是管理员撤销当前登录用户的系统访问权限。

我已阅读 Revocation Endpoint 的文档并且可以看到用户如何使用它来撤销他们自己的访问权限。但是，当管理员不知道特定用户的访问 token 是什么时，如何做到这一点？

End Session Endpoint 也是如此我想，管理员如何知道他们的 ID token ？

到目前为止我尝试过的是实现 IProfileService并在 IsActiveAsync 中检查用户的帐户是否有效方法。在我们的客户数据库中，我可以停用他们的帐户，这具有将他们重定向到登录页面的预期效果。但是 token 和 session 仍然“活着”。这是结束 session 和撤销访问 token 的好地方吗？

还是将用户 token 持久化到数据库是一种选择？

更新

根据下面@Mashton 的回答，我在 Identity Server 文档 here 中找到了一个如何实现持久性的示例。 .

创建那里描述的数据迁移会将 token 持久化到 [dbo].[PersistedGrants]在 Key柱子。起初我很困惑，因为它们看起来不像我的引用访问 token ，但经过一番挖掘后，我发现它们存储为 SHA-256 哈希。看着DefaultGrantStore在 Identity Server's GitHub 中实现Hashed Key 计算如​​下...

    const string KeySeparator = ":";
    protected string GetHashedKey(string value)
    {
        return (value + KeySeparator + _grantType).Sha256();
    }

...哪里 value是 token 和 _grantType是以下之一...

    public static class PersistedGrantTypes
    {
        public const string AuthorizationCode = "authorization_code";
        public const string ReferenceToken = "reference_token";
        public const string RefreshToken = "refresh_token";
        public const string UserConsent = "user_consent";
    }

使用持久授权不会给我原始访问 token ，但它确实允许我撤销访问 token ，因为 [dbo].[PersistedGrants]表有 SubjectId .

更新 2 - 身份服务器不断创建 token

我创建了一个隐式 mvc 客户端，成功登录后，我将声明转储到屏幕上。我从持久授权数据库中删除访问 token ，然后使用 Postman 结束 End Session Endpoint 中的 session (使用声明中的 id token )。当我刷新浏览器时，我希望用户被重定向到登录屏幕，但他们会获得一个新的访问 token 和一个新的 id token 。 Client.IdentityTokenLifetime只有 30 秒。

关于我在这里缺少什么的任何想法？

Answer 1

您只能撤销 Reference tokens不是 JWTs ，是的，那些需要存储在数据库中。看看 IPersistedGrantStore (在我的头顶，所以可能名字错了)，你会看到结构非常简单。

一旦你把它们存储起来，你显然可以在管理方面做任何你喜欢的事情，比如更改到期时间或直接删除它们。