Warm tip: This article is reproduced from serverfault.com, please click

azure-在AD B2C中更改用户密码后如何验证用户ID令牌

(azure - How to validate the user id token after user password changes in AD B2C)

发布于 2020-11-16 08:17:50

我正在AD B2C本地帐户中创建一个用户,并能够使用创建的用户生成用户ID令牌,https://login.microsoftonline.com/{{My_Domain_Name}}.onmicrosoft.com/oauth2/token/并且正在使用此令牌来获取用户个人资料https://graph.windows.net/{{My_Domain_Name}}.onmicrosoft.com/users/{{USER_ID}}?api-version=1.6现在,如果我更改了用户的密码并保留了旧的用户ID令牌,我仍然可以访问用户配置文件,是否可以用旧的令牌来限​​制“获取用户”?

Questioner
coder89
Viewed
1
Allen Wu 2020-12-01 14:49:32

将评论移至答案以供更多人参考。

首先,你正在使用访问令牌来访问用户配置文件。访问令牌无法撤消。但是你可以撤消刷新令牌,然后当旧的访问令牌过期时,用户将失去对AAD的访问权限。默认到期时间是1小时。

请参阅此处的参考

因此,在执行上述步骤之后,你不能立即用旧令牌限制“获取用户”:

对于使用访问令牌的应用程序,当访问令牌到期时,用户将失去访问权限