Мы используем idsrv3 на работе, и вот мои настройки и проблемный сценарий:
мы используем idserv со ссылочными токенами, неявным потоком, 1 веб-API и 1 клиентом angularjs.
Наш клиент не хочет, чтобы пользователь заходил на сайт несколько раз.
- пользователь A подключается к сайту на Chrome
- пользователь A подключается к сайту в Firefox, и токен A в Chrome аннулируется.
- API возвращает 401 пользователю A на Chrome, отозвано работало
- chrome перенаправляет пользователя на страницу входа с помощью oidc-client (signinredirect)
- Пользователь автоматически вошел в систему, поскольку куки-файлы аутентификации все еще действительны.
У нас также есть автоматическое обновление для токена доступа.
Теперь я хочу заставить выгнанного пользователя повторно пройти аутентификацию, но это невозможно сделать без удаления файлов cookie аутентификации.
Как мне этого добиться?
Я посчитал, что у меня очень длинный токен доступа (хранится в хранилище сеансов) и эфемерные куки-файлы аутентификации
удалить куки непосредственно перед перенаправлением входа, что сглазит молчаливое возобновление.
Какой мой лучший вариант?
спасибо.