是否应在注销时删除刷新令牌？
在注销时是否应该删除刷新令牌取决于具体的安全需求和实际情况。下面是一些相关的考虑因素：
- 安全性：刷新令牌是用于获取新的访问令牌的凭证，如果刷新令牌被恶意获取，可能导致未经授权的访问。因此，为了最大程度地保护用户数据的安全，建议在注销时删除刷新令牌。
- 用户体验：删除刷新令牌可能会导致用户在注销后需要重新登录并重新授权，这可能会影响用户体验。因此，在考虑用户体验的情况下，可以选择不删除刷新令牌。
- 业务需求：某些业务场景下，可能需要在用户注销后仍然保留刷新令牌，以便用户再次登录时可以快速获取新的访问令牌，减少用户等待时间。例如，某些需要频繁登录的应用程序或服务。
综上所述，是否应该在注销时删除刷新令牌是一个权衡安全性和用户体验的问题，需要根据具体情况进行决策。
腾讯云相关产品和产品介绍链接地址：
- 腾讯云身份认证服务（CAM）：提供了身份管理、权限管理等功能，可用于管理用户的访问令牌和刷新令牌。详情请参考：https://cloud.tencent.com/product/cam
- 腾讯云API网关：可用于对API进行访问控制和权限管理，可以在注销时删除刷新令牌。详情请参考：https://cloud.tencent.com/product/apigateway
- 腾讯云COS（对象存储）：提供了安全可靠的对象存储服务，可用于存储用户数据。详情请参考：https://cloud.tencent.com/product/cos
相关·内容
1回答
我使用访问令牌和刷新令牌来对我的asp.net核心2API的用户进行身份验证。
当用户实际单击注销按钮时，我清除了包含访问令牌和刷新令牌的本地存储。但是我想知道我是否应该做一个额外的调用，并删除刷新标记。
浏览 6提问于2018-07-20得票数 6
回答已采纳
我想知道在更改密码/注销时使JWT无效而不点击db的最佳实践。1.在密码更改的情况下，我检查存储在用户db中的密码(散列)。2.在注销的情况下，我将最后一次注销时间保存在用户db中，因此，通过比较令牌创建时间和注销时间，我可以使这种情况无效。
但这两种情况的代价是每次用户点击api时都会命中用户db。
浏览 70提问于2015-02-27得票数 78
回答已采纳
3回答
我实现了访问令牌和刷新令牌，没有使用auth服务器(我的API服务器也进行身份验证)。刷新令牌:存储在客户端(本地存储)和服务器(数据库)中。刷新“窗口”是一周，因此可以刷新令牌，而无需在该周内重新登录。当用户注销时，我将删除本地存储中的访问
浏览 0提问于2019-07-11得票数 5
回答已采纳
1回答
我正在进行一个颤振项目，当用户从应用程序中注销时，我需要停止接收推送通知，但我仍然在接收应用程序上的通知。知道怎么实现吗？(我使用API将设备令牌保存到服务器。)
浏览 4提问于2022-03-01得票数 1
回答已采纳
3回答
服务器检查所提供的凭据是否有效。
return null;}
'getAuthenticationis used by theJWTAuthenticationFilter`类在登录时使用
浏览 4提问于2017-04-23得票数 12
回答已采纳
1回答
我使用JWT和Refresh令牌进行身份验证。现在，我在用户和刷新令牌之间有一对多的关系。当用户注销而不是删除时，我将撤销刷新令牌。这会导致每个用户有多个刷新令牌，这会使数据库上有很多刷新令牌。所以我想在用户和刷新令牌之间建立一对一的关系。我发现每个用户都有一个以上的刷新令牌(吊销令牌、活动<
浏览 16提问于2021-02-07得票数 0
1回答
当您使用第三方进行身份验证(例如Google/Facebook )时，他们的SDK会跟踪登录状态。如果我有自己的服务器，需要自己的访问令牌(在验证第三方身份验证后发出)，那么保持对资源服务器的访问与第三方的登录状态同步有多重要？
例如。如果第三方登录状态更改为注销，我是否应该注意这一点并自动过期我自己的服务器访问令牌。还是我应该把他们分开对待？
浏览 0提问于2016-02-01得票数 5
2回答
我有一些关于实现刷新令牌的问题。我搜了很多遍，但什么也没找到：
我必须将刷新令牌发送到客户端吗？(我们将其存储在数据库中
浏览 0提问于2019-04-09得票数 1
我们不持久化访问令牌(与JWT一样正常)，但我们确实将(散列)刷新令牌与一些元数据一起保存，以便能够撤消它们，以便用户可以注销其他设备。我们还只允许对刷新令牌进行一次使用，新请求还提供了一个新的刷新令牌。
OAuth2登录服务器本身对会话使用常规基本auth。用户希望能够在这里注销(单个设备/客户端)。但理想情况下，我希望删除此客户端仍然具有的刷新令牌。问题是我不知道<e
浏览 0提问于2019-10-22得票数 1
回答已采纳
我的意思是，我提供了一个刷新uri，它们可以在任何时候轻松地并且不需要花费任何费用来更新令牌(或者获得一个新的有效令牌)。我看不出这有什么意义，为什么不干脆让令牌永不过期呢？我看不出这件事的安全利益或任何目的，因为令牌到期。有人能向我解释我为什么要让我的代币过期，为什么它们不能无限期好呢？
浏览 1提问于2014-06-03得票数 0
回答已采纳
1回答
成功登录后，我将在其中添加"user-id“，然后返回到UI层，从而创建一个新的JWT令牌。在UI结束时，我将该令牌存储在会话存储中。此令牌用于所有对服务器的进一步请求。在进入控制器之前，我将使用JWT验证在中间件中检查令牌。如果成功验证，next()将返回一个带有无效令牌的错误。立即发布准确信息：
将用户1的会
浏览 3提问于2018-03-24得票数 0
因此，我将用户刷新令牌的散列存储在数据库中，并在每次请求刷新时将其与客户端的刷新令牌进行比较。如果客户端注销，它会发送一个"api/logout“请求，删除刷新令牌。但是，如果用户在不注销的情况下删除应用程序，我就无法从数据库中撤销他们的刷新令牌，因此它永远处于陈旧的数据状态。有办法处理这个案子吗？
浏览 4提问于2017-11-06得票数 1
回答已采纳
我有一个关于注销的问题。一旦我完成了注销，却没有弹出输入用户名和密码，为什么会这样呢？如果是这样，请建议我，当我想要完全注销时，这意味着我们也必须删除刷新令牌，我猜。在我的观点中，不询问用户名和密码的原因是，它的刷新令牌是有效的，一旦我单击登录按钮，它就会直接重定向到问候页面，并在刷新令牌的帮助下生成新的访问令牌。但我想做完整的注销，即，一旦用户点击注销<
浏览 17提问于2016-08-15得票数 0
1回答
滑动刷新令牌生存期过期后注销用户
、、、、
我们注意到令牌是自动更新的，这很好。但我们希望用户在SlidingRefreshTokenLifetime过期后注销。我们将AccessTokenLifetime设置为900 (15分钟)，将SlidingRefreshTokenLifetime设置为7200 (2小时)。用户应在空闲2小时后注销。当我们使用带有刷新标记的IdentityServer / token向自己的客户端发出连接请求时，这在没有oidc-client-js的情况下运行
浏览 101提问于2021-07-29得票数 0
1回答
我的应用程序目前使用Stormpath登录用户，使用电子邮件/密码或MDN/密码，并在成功登录时返回一个JWT令牌，用于访问服务器的API。
在用户帐户中保存会话列表。每次用户登录时，都会添加一个带有device_id和JWT的新条目。当用户注销时，该项将被移除或标记为非活动项。当用户试图登录另一个设备时，如果我只想限制在一个活动设备上，我会将另一个条目设置为禁用并过期JWT，以便应用程序能够检测到它并再次要求登录。
浏览 1提问于2016-09-09得票数 2
return new JwtSecurityTokenHandler().WriteToken(token);在上面的代码中，我在dotnet核心应用程序中编写了基于jwt令牌的身份验证我不知道如何在注销按钮单击时销毁令牌。我是新的dotnet核心应用程序和网络api。
我引用了这么多的网站进行注销，强行销毁jwt令牌，但我没有弄明白如何销毁它。
浏览 3提问于2020-02-26得票数 0
但是，当我随后导航到/chatroom时，我被视为已登录。return render_template("chatroom.html") return redirect(url_for("sign_in")) 当我点击此路径时，Firebase不会将用户重定向到/sign-in，而是验证令牌是否有效，从而允许我继续操作，即使我已经注销。
浏览 12提问于2020-05-04得票数 1
回答已采纳
2回答
当用户最初登录或注册时(立即登录)，我将提供一个访问令牌和一个刷新令牌。访问令牌每t小时到期一次，但刷新令牌从未过期。我想在用户注销时撤销这些令牌。我听说过的一种方法是，您可以在数据库中存储一个已撤销的令牌列表，并在文档上设置一个TTL，这样数据库就不会占用太多的空间。我还考虑过在数据库中存储一个活动令牌列表，这与此正好相反，但我听到人们说，这是个坏主意，但在我看来，这与存储已撤销
浏览 0提问于2019-05-22得票数 1
1回答
创建和使用访问令牌非常简单，但当我试图了解如何处理刷新令牌的使用和存储时，我遇到了一些概念上的误解。
在初次登录时，我分发一个访问令牌( 10分钟到期)和一个刷新令牌(4天到期)。刷新令牌的'jti‘属性存储在数据库中的一个表中，以及它的过期日期。访问令牌存储在内存中，刷新令牌存储在HttpOnly cookie中。当访问令牌过期<em
浏览 5提问于2021-07-14得票数 2
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
云直播活动推荐
腾讯云开发者
