概要
Authlete では、/auth/revocation API を使って特定のアクセストークン（またはリフレッシュトークン）を削除した場合、そのアクセストークンに紐づくリフレッシュトークン（またはそのリフレッシュトークンに紐づくアクセストークン）も同時に削除します。詳細
クライアントからリボケーションリクエストを受け取った認可サーバーは、そのリクエストの内容を “parameters” パラメーターに格納し、Authlete の /auth/revocation API を呼びだすことになります。 RFC 7009 で定義されているように、クライアントからのリボケーションリクエストは下記のパラメーターから構成されます。
/auth/revocation API が呼び出されたとき、Authlete は token_type_hint の値からトークンの種類を推定し、最初にその種類を対象にトークンデータベースを検索します。もし見つからなかった場合には、次に別の種類についても検索を行います。
つまり Authlete は、token_type_hint をレコードの検索順を決定するために利用します。アクセストークンまたはリフレッシュトークンの一方のみを削除する、といった動作にはなりません。
以下に動作の詳細を示します。