ASP.NET MVC中如何在注销时移除/过期OAuth Token

嘿，我来帮你搞定注销时过期OAuth Token的问题！结合你给出的代码上下文，咱们可以从这几个维度来实现：

你同时用到了Cookie和OAuth两种认证类型，所以注销时需要调用SignOut方法，把这两种认证的会话都清除掉。可以在你的注销Action里这么写：

public ActionResult Logout()
{
    var authManager = Request.GetOwinContext().Authentication;
    
    // 清除Cookie认证会话
    authManager.SignOut(CookieAuthenticationDefaults.AuthenticationType);
    // 清除OAuth认证会话
    authManager.SignOut(OAuthDefaults.AuthenticationType);
    
    return RedirectToAction("Login", "Account");
}

这个操作会让当前的AuthenticationTicket立即失效，同时清除客户端对应的Cookie，用户下次请求就必须重新认证了。

如果你的OAuth Token是存在数据库这类存储里的，仅仅清除客户端的Token还不够——得在服务端把这个Token标记为已作废，防止有人恶意复用。具体步骤是：

• 生成Token时，把Token值、所属用户ID、过期时间一起存入数据库
• 注销时，找到当前用户所有未过期的Token，标记为已撤销/加入黑名单
• 在每次API验证Token的环节，先检查Token是否在黑名单里，若是则拒绝请求

给你个简单的示例代码（假设你有Token存储的仓储服务）：

public async Task<ActionResult> Logout()
{
    var userId = User.Identity.GetUserId();
    // 获取该用户所有未过期的有效Token
    var validTokens = await _tokenStore.GetValidTokensForUserAsync(userId);
    
    foreach (var token in validTokens)
    {
        token.IsRevoked = true;
        token.RevokedAt = DateTime.UtcNow;
    }
    await _tokenStore.SaveChangesAsync();
    
    // 清除客户端认证
    var authManager = Request.GetOwinContext().Authentication;
    authManager.SignOut(CookieAuthenticationDefaults.AuthenticationType, OAuthDefaults.AuthenticationType);
    
    return RedirectToAction("Login");
}

你还可以在生成AuthenticationTicket的时候，主动设置Token的过期时间，这样就算客户端保留了Token，过了有效期也无法使用。调整你原来的代码就行：

ClaimsIdentity oAuthIdentity = new ClaimsIdentity(OAuthDefaults.AuthenticationType);
ClaimsIdentity cookiesIdentity = new ClaimsIdentity(CookieAuthenticationDefaults.AuthenticationType);

// 设置Token过期属性
var authProps = new AuthenticationProperties
{
    ExpiresUtc = DateTime.UtcNow.AddHours(1), // 比如设置1小时后过期
    AllowRefresh = true // 如果需要支持Token刷新，可以开启这个
};

AuthenticationTicket ticket = new AuthenticationTicket(oAuthIdentity, authProps);
context.Validated(ticket);

内容的提问来源于stack exchange，提问作者Jeeten Parmar