Authentication · Kimlik doğrulama
Refresh, logout ve token iptali
Kısa access token, dönen refresh token ve gerçek çıkış sınırları.
Kavramı anlayalım
Access token süresi dolunca refresh token ile yeni token alınabilir. Refresh token daha uzun ömürlü ve hassas bir credential’dır; her istemciye mutlaka verilmez. Rotasyon yenilemede eski değeri değiştirir. Çalınmış eski değerin tekrar kullanılması reuse detection ile oturum ailesinin iptaline yol açabilir; eşzamanlı sekmeler için yarış davranışı tasarlanmalıdır.
Logout yalnız frontend storage temizlemekten ibaret değildir. Sunucu session’ı ve refresh erişimini iptal etme, identity provider oturumunu sonlandırma ve ilgili cookie’leri doğru domain/path ile temizleme ayrı adımlardır. Stateless imzalı access token süresi bitene kadar geçerli kalabilir; anında iptal gerektiğinde kısa lifetime, introspection veya sunucu denetimi gibi mimari tercihler gerekir.
Frontend 401’de bir kez kontrollü refresh deneyebilir. Aynı anda gelen istekler tek bir yenileme sonucunu paylaşabilir; sonsuz refresh, her 403’te yenileme veya aynı yan etkili POST’u kontrolsüz yeniden gönderme doğru değildir. Kullanıcı durumu, hesabın kapatılması ve refresh hataları UI’ya tutarlı yansısın. Token’ları analytics ve exception gövdelerine koyma. Bu lifecycle yalnız storage seçimiyle çözülemez.
Uzun oturumlu SaaS istemcilerinin güvenilir yenileme akışında.
Logout sonrası bütün JWT’lerin otomatik geçersiz olduğunu sanmak.
Aynı konu. Üç farklı derinlik.
401 → one refresh attempt → retry only if safeYenileme sınırlıdır ve işlem tekrarı ayrıca güvenli olmalıdır.
Bu sayfa dış sunuculara istek göndermez. HTTP mesajları temsili, HTTP/1.1 biçiminde okunabilir gösterimlerdir; HTTP/2 ve HTTP/3 wire formatı değildir. example.test ayrılmış öğretim alan adıdır. Komut ve JavaScript örneklerini yalnız kendi test ortamında uygula; gerçek token veya cookie yayımlama.
Önce kendin dene.
Kullanıcı localStorage’ı sildi. Çalınmış access token anında durur mu?
Çözümü ve açıklamasını göster
Not necessarily: check token lifetime and revocation architecture.Hayır; sunucunun o token için iptal denetimi olup olmadığına bağlıdır.