1

我正在开发一个 .NET 应用程序，它可以使用 Graph API 代表用户发送电子邮件。

提示用户授权应用程序；然后使用获取的访问令牌调用 Graph API。刷新令牌用于在旧令牌过期时发出新的访问令牌，如下所述：https ://docs.microsoft.com/en-us/azure/active-directory/develop/v2-oauth2-auth-code -流动

几个问题/观察：

  1. 假设用户 John 授权应用代表他发送电子邮件。如果管理员从 azure 门户中删除该应用程序，John 授权该应用程序时发出的访问/刷新令牌仍然有效。
  • 如果访问令牌仍然处于活动状态，则可以使用它来调用图形 api；
  • 如果访问令牌过期，刷新令牌仍可用于请求新的访问令牌

这种行为是有意的吗？

阅读https://docs.microsoft.com/en-us/azure/active-directory/users-groups-roles/users-revoke-access和https://docs.microsoft.com/en-us/powershell/后module/azuread/revoke-azureaduserallrefreshtoken?view=azureadps-2.0似乎只是从用户那里删除应用程序并不会撤销令牌。

  1. 假设用户 John 授权应用代表他发送电子邮件。如果 John 访问https://myapplications.microsoft.com并删除该应用程序，他将无法使用刷新令牌来获取新的访问令牌，这是预期的。

但是，我注意到如果 John 重新授权该应用程序代表他执行操作，该应用程序将不会再出现在https://myapplications.microsoft.com上。这种行为似乎有点不一致。用户撤销对应用程序的访问权限的正确方法是什么？

4

1 回答 1

2

如果用户已授予对应用程序的访问权限，Azure AD 将为资源颁发访问令牌和刷新令牌。

访问令牌的生命周期通常约为 1 小时。在其生命周期内，即使应用程序被删除，它仍然可用，但您将无法使用刷新令牌再次获取访问令牌。

如果您需要在访问令牌的生命周期内撤销授权，请参阅：此处和此处。

于 2020-10-27T11:18:29.703 回答