Django应用集成FusionAuth后登出异常问题咨询

核心原因 #

FusionAuth的access_token本质是自包含的JWT令牌，一旦签发，在设定的过期时间内会始终有效——因为JWT的有效性是通过签名验证的，不需要每次请求都查询FusionAuth服务器。而官方登出接口的设计目标并非主动撤销已签发的access_token，而是聚焦于刷新令牌和客户端Cookie的处理。

登出接口实际执行的操作 #

根据FusionAuth文档，调用登出接口后会完成以下动作：

• 移除FusionAuth域下存储的access_token和refresh_token Cookie，避免浏览器自动携带这些令牌发起请求
• 吊销对应的refresh_token，防止攻击者用它获取新的access_token
• 但不会主动撤销已发出的access_token，除非你额外配置了令牌黑名单或调用专门的撤销接口

解决方法 #

针对你的Django应用场景，可以用以下几种方式处理：

1. 清理本地会话：在Django登出逻辑中，除了调用FusionAuth登出接口，还要立即清除Django会话中存储的access_token。这样即使access_token本身还有效，Django端也不会再使用它进行认证。
2. 主动撤销access_token：调用FusionAuth的令牌撤销接口（/api/token/revoke），指定token_type_hint=access_token，将当前的access_token加入黑名单。后续FusionAuth验证该令牌时会直接拒绝。
3. 缩短access_token过期时间：在FusionAuth的应用配置中，把access_token的过期时间设短（比如5-15分钟），即使令牌短暂有效，也能大幅降低安全风险。
4. 启用令牌 introspection 验证：在Django的认证中间件中，每次请求都调用FusionAuth的/api/introspect接口验证access_token的有效性。这个接口会检查令牌是否被撤销、是否过期，确保只有合法有效的令牌能通过认证。

内容的提问来源于stack exchange，提问作者trubliphone