Widerruf und ausgestellte Tokens
Was die Sitzungen eines Frontend-Benutzers beendet und was ein bereits ausgestelltes Token noch kann.
Diese Ereignisse stoppen Refreshes sofort, weil sie die OAuth-Sitzungen hinter Ihren Refresh-Tokens beenden:
| Ereignis | Wer | Beendet |
|---|---|---|
| Das Frontend trennen | Die Organisation, im Studio („Frontend trennen“) | Jede OAuth-Sitzung dieses Frontends; neue Anmeldungen enden auf einer Fehlerseite |
| Einen Frontend-Benutzer sperren | Die Organisation, im Studio | Jede Sitzung dieses Benutzers, auf jedem Frontend der Organisation |
| „Von allen Websites und Apps abmelden“ | Der Benutzer, auf der Abmeldeseite | Jede Sitzung dieses Benutzers bei der Organisation |
| Passwort zurücksetzen | Der Benutzer | Jede Sitzung dieses Benutzers bei der Organisation |
Der nächste Refresh schlägt dann mit 400 fehl (siehe Fehler des Token-Endpunkts): Behandeln Sie das als Abmeldung und schicken Sie den Benutzer erneut durch die Anmeldung.
Bereits ausgestellte Tokens
Ein bereits ausgestelltes Zugriffstoken bleibt bis zu seinem Ablauf gültig, höchstens 1 Stunde. Ein Widerruf stoppt neue Tokens und Refreshes, nicht die Tokens, die Ihr Backend bereits hat. Wenn Sie es früher wissen müssen, erneuern Sie öfter: Ein Refresh wird abgewiesen, sobald die Sitzung beendet ist.
GET /api/v1/members/me prüft das Token selbst, nicht seine Sitzung: Nachdem sich ein Benutzer abgemeldet hat, gesperrt wurde oder sein Passwort zurückgesetzt hat, funktioniert ein bereits ausgestelltes Zugriffstoken dort ebenfalls, bis es abläuft.
Trennen und wieder verbinden
Ein getrenntes Frontend meldet niemanden an, und seine Frontend-Schlüssel werden abgewiesen. Wird es wieder verbunden („Wieder verbinden“), funktionieren Anmeldung und Schlüssel sofort wieder, aber keine Sitzung wird wiederhergestellt: Seine Benutzer melden sich erneut an.