注销时是否应删除刷新令牌

Question

我使用访问令牌和刷新令牌来为我的asp.net核心2 api验证我的用户。

当用户实际单击注销按钮时，我会清除包含访问令牌和刷新令牌的本地存储。

但我想知道我是否应该做一个额外的调用并删除刷新令牌。

Answer 1

是的，我想你应该这样做。关于清除旧的刷新代币或尽可能多地保持新鲜，有很多不同的意见。实际上，保留刷新令牌的主要目的是以后可以重复使用它们。但是，如果人们通过点击按钮注销，那么您可以清除这些刷新令牌。

但如果你想让它们在你的网站上停留更长时间而不重新登录，你可以用刷新令牌重新颁发访问令牌。因此，用户的身份验证令牌的有效期将更长。但若用户想自己注销，那个么你们应该清理并在下次登录时再次存储。