如何在 AD B2C 中更改用户密码后验证用户 ID 令牌

Question

我正在 AD B2C 本地帐户中创建一个用户，并且能够使用 https://login.microsoftonline.com/{{My_Domain_Name}}.onmicrosoft.com/oauth2/token/ 为创建的用户生成用户 ID 令牌，并且我正在使用此令牌来获取用户配置文件 https://graph.windows.net/{{My_Domain_Name}}.onmicrosoft.com/users/{{USER_ID}}?api-version=1.6。现在，如果我更改用户的密码并保留旧的用户 ID 令牌，我仍然可以访问用户配置文件，有没有办法使用旧令牌限制获取用户？

Answer 1

将 cmets 移至答案，供更多人参考。

首先，您正在使用访问令牌来访问用户个人资料。无法撤销访问令牌。但是您可以撤销刷新令牌，然后当旧的访问令牌过期时，用户将失去对 AAD 的访问权限。默认到期时间为 1 小时。

参见参考here。

因此，在您采取上述步骤后，您不能立即使用旧令牌限制获取用户：

对于使用访问令牌的应用程序，用户将失去访问权限当 访问令牌过期。