一个授权的问题

2019-07-22 21:13发布


一个授权的问题

场景:

A用户在外无法操作系统,把账号密码给了,B帮忙操作

A回公司之后把密码修改了,并重新登录,发现B电脑还在操作的他账号。


如果是这样是不是等于,别人只要登录一次账号后,并把他想看的数据接口、和authorization、blade-auth保存下来。即可用postman等工具随时查看数据。


或者说给浏览器安装定时刷新软件,即可一直把令牌存活?


发现前端的退出系统只是把响应头和cookie移除,不经过后端。


如果要实现

当用户更改密码时,把所有当前账号授权的令牌统一移除。

或者

一个账号只能在一个浏览器/设备登录,新的登录会使旧登录的令牌失效?


应该从哪里下手?