最近我用 openid connect 编写了一个身份提供程序。我已经公开了令牌和 oauth 流的端点。
我知道在 SPA 的情况下，我们无法提供刷新令牌来撤销任何一个令牌。所以我所做的是当我的访问令牌过期时，我总是调用 IDP 服务器并刷新我的令牌，但我面临的问题是身份验证没有静默放置在后台，因为有时会出现一个闪屏并且我的回调 url 调用我再次保存令牌的地方。
那么有什么方法可以在用户不知情的情况下撤销访问令牌。
一种方法是在我的令牌过期后调用身份提供者并在后台刷新我的令牌，但如果同时用户尝试使用旧的调用 api，他仍会收到 401。