如何让我的 Angular 应用程序与我可以在 Azure 门户中按下的 b2c“撤销会话”按钮一起使用

如何解决如何让我的 Angular 应用程序与我可以在 Azure 门户中按下的 b2c“撤销会话”按钮一起使用

我的用例是能够强制要求用户在丢失设备/帐户被盗的情况下再次登录，并且更新他们缓存的用户帐户，我们在我们的 Angular 应用程序中增加了附加信息。

在 Azure B2C 中，我提供了多个管理按钮，包括 [撤销会话]。在幕后，这会调用此处描述的图形函数（我的 API 可以稍后以编程方式调用）：- https://docs.microsoft.com/en-us/graph/api/user-revokesigninsessions?view=graph-rest-1.0&tabs=csharp

在我的 Angular 应用程序中，我无法强制用户在后续调用安全资源时再次登录。我希望当我按下这个按钮后拨打任何电话时，它会发回一个失败代码，我可以将其捕获在拦截器或类似工具中。

文档不清楚，我什至不确定我是否误解了操作的工作原理。我查看了各种答案，包括关于时间偏差和自定义基本 susi 流程的答案，但这对于应该是常见用例的内容来说似乎有些过分。

我正在使用以下位置提供的已发布示例，并进行更改以将其指向我的 B2C 区域。其中配置了标准流。问题出现在 MSAL 1 和 2 代码中 - 两者都不适用于此。

https://github.com/AzureAD/microsoft-authentication-library-for-js/tree/dev/samples/msal-angular-v2-samples/angular11-b2c-sample

在我的设置中使用此代码，我可以使用创建的帐户登录 B2C，编辑我的个人资料并查看我的示例安全 api。

在 B2C 环境中，我按下了撤销会话按钮。在客户端，我再次尝试调用我的 api，它只是像以前一样调用它。

我怀疑更改必须进入 app.component.ts 示例的这一部分：-

      this.msalBroadcastService.msalSubject$
      .pipe(
        filter((msg: EventMessage) => msg.eventType === EventType.LOGIN_FAILURE || msg.eventType === EventType.ACQUIRE_TOKEN_FAILURE),takeUntil(this._destroying$)
      )
      .subscribe((result: EventMessage) => {
        console.log(result);
        if (result.error instanceof AuthError) {
          // Check for forgot password error
          // Learn more about AAD error codes at https://docs.microsoft.com/azure/active-directory/develop/reference-aadsts-error-codes
          if (result.error.message.includes('AADB2C90118')) {

            // login request with reset authority
            let resetPasswordFlowRequest = {
              scopes: ["openid"],authority: this.policies.authorities.forgotPassword.authority,}

            this.login(resetPasswordFlowRequest);
          }
        }
      });

带有该示例的文档将您指向此处以了解其他事件：- https://docs.microsoft.com/en-gb/azure/active-directory/develop/reference-aadsts-error-codes 但同样没有提及撤销的预期内容。

我遗漏了什么？我怎样才能让示例应用程序强制某人在按下该按钮后尝试访问受保护资源时再次登录？

谢谢

解决方法

Azure AD 可以应用策略，包括仅在发出下一个登录请求或获取访问令牌时撤销的会话。

今天的 AAD 在无状态模式下工作，因此如果用户在其 Web 应用程序中处于活动状态，因为会话基于仍然有效的 cookie，和/或访问令牌仍未通过其有效性（它们是有效的默认情况下颁发后 1 小时内），没有服务器端机制来强制注销用户或使颁发的访问令牌无效。