一个授权的问题

Blade 未结 1 321
Jacob
Jacob 2019-07-22 21:13


一个授权的问题

场景:

A用户在外无法操作系统,把账号密码给了,B帮忙操作

A回公司之后把密码修改了,并重新登录,发现B电脑还在操作的他账号。


如果是这样是不是等于,别人只要登录一次账号后,并把他想看的数据接口、和authorization、blade-auth保存下来。即可用postman等工具随时查看数据。


或者说给浏览器安装定时刷新软件,即可一直把令牌存活?


发现前端的退出系统只是把响应头和cookie移除,不经过后端。


如果要实现

当用户更改密码时,把所有当前账号授权的令牌统一移除。

或者

一个账号只能在一个浏览器/设备登录,新的登录会使旧登录的令牌失效?


应该从哪里下手?



1条回答
  • 2019-07-22 21:23

    申请token和refresh_token的时候,都会去校验账号密码。如果登过一次,一直在刷新token。这种情况只需要改掉密码就完事了,再也没法获取token了

    0 讨论(1)
提交回复