Microsoft Graph OAuth2 撤销/无效刷新令牌 node.js

Question

我正在尝试撤销一个刷新令牌，以便它不能进一步用于通过 oauth2 获取更多访问令牌。

我正在使用 simple-oauth2 nodejs 库来包装获取访问和刷新令牌的请求。获得这些令牌后，我可以使用访问令牌进行 graph.microsoft.com 调用。令牌到期时，我可以得到一个新的。这个库有一个 .revoke() 方法，它接受一个撤销 url。我将此指定为http://login.microsoft.com/common/oauth2/v2.0/logout 但刷新令牌仍然有效。

根据https://support.office.com/en-us/article/Session-timeouts-for-Office-365-37a5c116-5b07-4f70-8333-5b86fd2c3c40?ui=en-US&rs=en-US&ad=US Azure Active Directory：“管理员可以应用条件访问策略来限制对用户尝试访问的资源的访问。”

是否可以使用 oauth2 请求撤销？我看到了这个https://docs.microsoft.com/en-us/azure/active-directory/develop/active-directory-v2-protocols-oidc 其中显示了 oauth2 注销 url /common/oauth2/v2.0/logout。

Answer 1

Azure Active Directory 不支持或为应用程序提供用于撤销刷新令牌的终结点。推荐的方法是在注销时清除令牌缓存以防止重新使用令牌。

类似的帖子在这里：Revoke a refresh token on Azure AD B2C

您可以在此处详细了解有关刷新令牌的令牌生命周期的政策 https://docs.microsoft.com/en-us/azure/active-directory/active-directory-configurable-token-lifetimes