web-services - 当用户注销时，我们是否需要在 Windows Identity Foundation 的 SecurityTokenService 中实现一些逻辑？

Question

我正在实现自己的 SecurityTokenService ，它源自WIF 的 STS。我是否需要强制执行Cancel方法？

默认情况下，如本文所述，每次调用都会实例化Windows Identity Foundation 的 SecurityTokenService。如果我没有明确地缓存任何东西（或做类似的事情）， 你是否看到任何应该通过实现 Cancel 方法来处理的事情？STS 或 WIF 是否在后台执行用户注销时应处理的操作（调用取消方法）？ 例如，如果我一直在缓存令牌，那么当用户注销时，我必须在 Cancel 方法中将其从缓存中删除。

Answer 1

这取决于您的实施。如果您的 STS 没有实现Validate方法，那么实现 Cancel 是没有意义的。

Validate 的目的是收件人可以通过您的 STS 检查是否在其到期窗口内的令牌已被撤销（可能通过取消）。

FWIW，我认为 AD FS 不支持取消和验证。很少有现实世界的架构使用它们。

请注意，当用户在 AD FS 中注销时，他们与 AD FS 服务器的会话将被撤销。但是，AD FS 代表他们发行的任何代币仍将被依赖方接受。