我使用访问 token 和刷新 token 为我的 asp.net core 2 api 验证我的用户。
当用户物理单击注销按钮时，我会清除包含访问 token 和刷新 token 的本地存储。
但我想知道我是否应该做一个额外的调用并删除刷新 token 。
最佳答案
是的，我想你应该。关于清除旧的刷新 token 或尽可能多地保持新鲜，有很多不同的意见。实际上，主要目的是保留刷新 token ，以便您以后可以重新使用它们。
但是如果人们通过点击按钮注销，那么你可以清理那些刷新 token 。
但是，如果您想在不重新登录的情况下将它们在您的站点上保留更长时间，您可以使用刷新 token 重新发出访问 token 。因此用户的身份验证 token 将更有效。但是如果用户想自己注销，那么你应该清理它并在他们下次登录时再次存储。
关于authentication - 注销时应删除刷新 token 吗？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/51429601/