注销后删除access_token

Question

我有一个小问题.

目前,我的Spring配置使用DefaultTokenServices(由spring-security-oauth2-2.0.0.M3.jar提供).它正确生成access_token.

现在我要做的是在我注销时取消/删除/删除/撤销此令牌.

在security.xml中,我在http标记中配置了注销:

<sec:logout logout-url="/logout" logout-success-url="/auth" invalidate-session="true" delete-cookies="true" />

并且重定向成功.但是,如果我写一个测试进行登录,注销,并且在我尝试使用此access_token访问受限制的路径后,我可以获得成功请求,但我希望未经授权的错误.为什么？

如何配置注销,自动删除access_token以强制重新登录？

Answer 1

access_token的生命周期独立于授予客户端访问权限的用户的登录会话.OAuth2没有用户登录或注销或会话的概念,因此您希望注销撤销令牌这一事实似乎表明您误解了OAuth2的工作原理.你应该在你的问题中澄清为什么你希望事情以这种方式工作以及为什么你需要OAuth.

如果您真的想要这种行为,那么您必须自己编写代码(LogoutHandler例如,在自定义的Spring Security中),但令牌的生命周期通常由其到期时间决定.令牌撤销通常是提供给用户的单独界面,允许他们过早地撤销对一个或多个客户端的资源访问 - 类似于Twitter的第三方应用程序访问.