oauth - 密码重置后强制注销 WSO2 IS

Question

成功重置密码后，有什么方法可以使用户会话无效？目前我正在尝试用我们的设置（IS 5.8.0）找出一些方法来做到这一点。我们希望实现这样的情况，即用户在 PC 和移动设备或其他 PC 上登录，他重置了他的密码，然后，他应该退出所有 PC 和移动设备。

标签： oauthwso2openidwso2is

Answer 1

IS通过密码更新事件撤销会话和访问令牌。

由于您的要求是从您的应用程序端强制注销用户，

选项1：

由于 accesstoken 在身份服务器端被撤销，您可以定期检查 accesstoken 是否处于活动状态，如果它不处于活动状态，您可以从应用程序端强制注销用户。

选项2：

由于 IS 在撤销活动会话时触发会话终止事件，因此您可以编写一些自定义事件处理程序来监听会话终止事件并编写逻辑以向您的应用程序发送一些自定义通知。

对于 IS5.8.0，您可以使用上述任一选项。

从 5.12.0-m5 开始，当会话终止被内部触发时（例如：密码更新，通过 rest api 终止会话，注意：如果会话终止是由用户注销机制触发的，IS 已经支持 OIDC 反向通道注销），IS 将如果应用程序已启用它，则向 OIDC 应用程序发送 OIDC 反向通道注销通知。