Andere Sitzungen abmelden
POST /fapi/v1/me/sessions:revoke-others · wird vom Anmelde-Host der Umgebung aufgerufen
Beendet alle aktiven Sitzungen des authentifizierten Benutzers außer der Sitzung, die die Anfrage stellt, und widerruft die Refresh-Tokens des Benutzers, die nicht an diese Sitzung gebunden sind. Access-Tokens, die die beendeten Sitzungen ausgestellt haben, werden abgelehnt, und die Anwendungen, bei denen über sie angemeldet war, werden benachrichtigt. Erforderlich ist das Cookie __Host-idp_session des authentifizierten Benutzers; fehlt das Cookie, ist es abgelaufen oder widerrufen, wird 401 unauthenticated zurückgegeben. Eine First-Party-Anwendung auf einem anderen Origin kann stattdessen ihr Front-API-Zugriffstoken senden (Authorization: DPoP <token> mit einem DPoP-Proof; siehe Front-API-Zugriffstoken). Die Sitzung muss innerhalb der letzten 300 Sekunden verifiziert worden sein; andernfalls lautet die Antwort 401 step_up_required mit einer RFC-9470-Challenge im Header WWW-Authenticate (max_age=300), und nichts ändert sich. Melden Sie sich erneut an (zum Beispiel mit max_age=0 oder prompt=login) und wiederholen Sie die Anfrage. Ohne weitere Sitzung lautet die Antwort weiterhin 204.
Anfrage
Header:
| Header | Erforderlich | Beschreibung |
|---|---|---|
Idp-Client |
ja | SDK-Kennung. |
Origin |
ja | Muss genau https://<sign-in host> sein. |
Kein Body.
Antwort
204 No Content.
Fehler
| Status | Code | Wann |
|---|---|---|
| 401 | unauthenticated |
Kein gültiges Sitzungs-Cookie. |
| 401 | step_up_required |
Die Sitzung wurde vor mehr als 300 Sekunden verifiziert. |
| 403 | origin_not_allowed |
Origin fehlt oder ist falsch. |
Beispiel
curl -X POST https://example.keenauth.app/fapi/v1/me/sessions:revoke-others \
-H "Idp-Client: my-app/1.0.0 (node/22.0.0)" \
-H "Origin: https://example.keenauth.app" \
-b cookies.txt