当前位置：首页 > news >正文

OAuth 2.0 令牌撤销机制：OAuth 2 in Action Code 中的完整实现指南 [特殊字符]

news 2026/7/5 18:04:59

OAuth 2.0 令牌撤销机制：OAuth 2 in Action Code 中的完整实现指南 🔐

【免费下载链接】oauth-in-action-codeSource code for OAuth 2 in Action项目地址: https://gitcode.com/gh_mirrors/oa/oauth-in-action-code

OAuth 2.0 令牌撤销机制是OAuth安全体系中至关重要的组成部分，它允许客户端主动撤销已颁发的访问令牌，确保系统安全性。本文将深入解析OAuth 2 in Action项目中令牌撤销的实现方法，帮助开发者掌握这一关键安全功能。

什么是OAuth 2.0令牌撤销机制？ 🤔

OAuth 2.0令牌撤销（Token Revocation）是OAuth 2.0协议的一个扩展，定义在RFC 7009中。它提供了一种标准化的方式，允许客户端或资源所有者撤销已颁发的访问令牌或刷新令牌。当令牌被盗用、用户退出登录或应用需要终止会话时，令牌撤销机制能够立即终止令牌的有效性，防止未授权访问。

在OAuth 2 in Action项目中，令牌撤销功能通过专门的撤销端点（Revocation Endpoint）实现，为开发者提供了完整的实践示例。

令牌撤销机制的核心组件 🏗️

1. 撤销端点（Revocation Endpoint）

授权服务器必须提供一个撤销端点，客户端通过该端点发送撤销请求。在项目中，这个端点通常位于：

http://localhost:9001/revoke

2. 客户端认证要求

为确保安全性，撤销请求必须进行客户端认证。项目支持两种认证方式：

HTTP Basic认证：在Authorization头中传递客户端凭证
请求体认证：在POST请求体中包含client_id和client_secret

3. 令牌类型识别

撤销端点需要识别要撤销的令牌类型：

访问令牌（access_token）
刷新令牌（refresh_token）
令牌类型提示参数（token_type_hint）可选

OAuth 2 in Action中的实现详解 🔧

授权服务器端实现

在exercises/ch-11-ex-5/completed/authorizationServer.js中，撤销端点的核心代码如下：

app.post('/revoke', function(req, res) { var auth = req.headers['authorization']; if (auth) { // 检查Authorization头 var clientCredentials = decodeClientCredentials(auth); var clientId = clientCredentials.id; var clientSecret = clientCredentials.secret; } // 或者在请求体中检查客户端凭证 if (req.body.client_id) { if (clientId) { // 如果已在Authorization头中认证，则报错 console.log('Client attempted to authenticate with multiple methods'); res.status(401).json({error: 'invalid_client'}); return; } var clientId = req.body.client_id; var clientSecret = req.body.client_secret; } // 验证客户端 var client = getClient(clientId); if (!client) { console.log('Unknown client %s', clientId); res.status(401).json({error: 'invalid_client'}); return; } if (client.client_secret != clientSecret) { console.log('Mismatched client secret'); res.status(401).json({error: 'invalid_client'}); return; } // 从数据库中删除令牌 var inToken = req.body.token; nosql.remove().make(function(builder) { builder.and(); builder.where('access_token', inToken); builder.where('client_id', clientId); builder.callback(function(err, count) { console.log("Removed %s tokens", count); res.status(204).end(); return; }); }); });

客户端调用实现

在exercises/ch-11-ex-5/completed/client.js中，客户端撤销令牌的代码如下：

app.post('/revoke', function(req, res) { var form_data = qs.stringify({ token: access_token }); var headers = { 'Content-Type': 'application/x-www-form-urlencoded', 'Authorization': 'Basic ' + encodeClientCredentials(client.client_id, client.client_secret) }; console.log('Revoking token %s', access_token); var tokRes = request('POST', authServer.revocationEndpoint, { body: form_data, headers: headers }); // 清除本地存储的令牌 access_token = null; refresh_token = null; scope = null; if (tokRes.statusCode >= 200 && tokRes.statusCode < 300) { res.render('index', {access_token: access_token, refresh_token: refresh_token, scope: scope}); return; } else { res.render('error', {error: tokRes.statusCode}); return; } });