active-directory - 撤销对通过 MS Active Directory 身份验证接收的 access_token 的访问权限

Question

我目前正在使用passport-azure-adnodejs@azure/msal-node 库来验证我的 API 的用户。当用户通过他/她的 microsoft 帐户成功进行身份验证时，我们会收到一个 access_token，用户可以使用该 access_token 调用我们的 API。现在，如果我们从 Azure 管理面板禁用用户帐户，则用户已经存在的 access_token 应该会失效，并且他/她应该无法使用该 access_token 调用我们的 API。

请问我们该怎么做？

Answer 1

基本上，你不能。

我相信规范。不允许撤销访问令牌。

但是，您可以撤销刷新令牌。

当访问令牌过期时，刷新令牌将不会被兑现，用户将被注销。

展望未来，持续访问评估将很有用，但尚未在许多应用程序中实施。迄今为止。