通过 cookie 进行 Laravel Passport 身份验证 - 注销时过期？

Question

在我的项目，我整合Laravel护照才能使用我的API在我的应用程序，如所描述这里。

我的问题是关于laravel_tokencookie的过期时间。在这里可以看到，我的应用程序发回的 cookie 被检查以验证它没有过期。这个到期时间似乎是由我的会话生命周期定义的 - 请参阅此处。

这似乎意味着 laravel_token cookie 将在我的应用程序的用户注销后仍然有效，只要会话时间没有过期（实际上，如果我删除服务器上的所有会话并且注销我的用户，使用 cookie 的 API 请求仍然成功）。

这是预期的行为吗？如果用户注销，是否有办法自动使 cookie 过期？（我知道 cookie 已从用户的系统中删除，但我是从 cookie 被劫持或被盗的理论可能性来看它的，然后只要会话生命周期没有过期就可以使用）。

Answer 1

尝试这种方式，在这种情况下，refresh_tokens 被禁用，cookie 也会丢失。

    $accessToken = Auth::user()->token();
    DB::table('oauth_refresh_tokens')
        ->where('access_token_id', $accessToken->id)
        ->update(['revoked' => true]);
    $accessToken->revoke();

    \Cookie::queue(\Cookie::forget(Passport::cookie()));