注销时应删除刷新令牌吗？

Question

我使用访问令牌和刷新令牌为我的 asp.net core 2 api 验证我的用户。

当用户物理单击注销按钮时，我会清除包含访问令牌和刷新令牌的本地存储。

但我想知道我是否应该做一个额外的调用并删除刷新令牌。

Answer 1

是的，我想你应该这样做。关于清除旧的刷新令牌或尽可能保持新鲜有很多不同的意见。实际上，主要目的是保留刷新令牌，以便您以后可以重新使用它们。但如果人们通过点击按钮注销，那么您仍然可以清除这些刷新令牌。

但是，如果您想让它们在您的网站上保留更长时间而不重新登录，您可以使用刷新令牌重新颁发访问令牌。因此用户的身份验证令牌的有效期将更长。但如果用户想自己注销，那么您应该清理它并在下次登录时再次存储。