Eine Sitzung abmelden
POST /fapi/v1/me/sessions/{session_id}:revoke · wird vom Anmelde-Host der Umgebung aufgerufen
Beendet eine andere Sitzung des authentifizierten Benutzers. Deren Refresh-Tokens werden widerrufen, die von ihr ausgestellten Access-Tokens werden abgelehnt, und die Anwendungen, bei denen über sie angemeldet war, werden benachrichtigt. Die Sitzung, die die Anfrage stellt, kann hier nicht beendet werden; melden Sie sich in diesem Browser über den Logout-Endpunkt (/oauth2/logout) ab, der auch das Cookie löscht. Erforderlich ist das Cookie __Host-idp_session des authentifizierten Benutzers; fehlt das Cookie, ist es abgelaufen oder widerrufen, wird 401 unauthenticated zurückgegeben. Eine First-Party-Anwendung auf einem anderen Origin kann stattdessen ihr Front-API-Zugriffstoken senden (Authorization: DPoP <token> mit einem DPoP-Proof; siehe Front-API-Zugriffstoken). Die Sitzung muss innerhalb der letzten 300 Sekunden verifiziert worden sein; andernfalls lautet die Antwort 401 step_up_required mit einer RFC-9470-Challenge im Header WWW-Authenticate (max_age=300), und nichts ändert sich. Melden Sie sich erneut an (zum Beispiel mit max_age=0 oder prompt=login) und wiederholen Sie die Anfrage. Eine bereits beendete Sitzung des Benutzers führt zur Antwort 204, und nichts ändert sich.
Anfrage
Header:
| Header | Erforderlich | Beschreibung |
|---|---|---|
Idp-Client |
ja | SDK-Kennung. |
Origin |
ja | Muss genau https://<sign-in host> sein. |
session_id: die Sitzungskennung, die von GET /fapi/v1/me/sessions zurückgegeben wird (ses_…).
Kein Body.
Antwort
204 No Content.
Fehler
| Status | Code | Wann |
|---|---|---|
| 401 | unauthenticated |
Kein gültiges Sitzungs-Cookie. |
| 401 | step_up_required |
Die Sitzung wurde vor mehr als 300 Sekunden verifiziert. |
| 403 | origin_not_allowed |
Origin fehlt oder ist falsch. |
| 404 | not_found |
Keine solche Sitzung für diesen Benutzer (eine unbekannte, fehlerhafte oder einem anderen Benutzer gehörende Kennung führt zur selben Antwort). |
| 409 | conflict |
Die Kennung gehört zur Sitzung, die die Anfrage stellt. |
Beispiel
curl -X POST https://example.keenauth.app/fapi/v1/me/sessions/ses_01jbz6x8kq3m2n4p5r6s7t8v9w:revoke \
-H "Idp-Client: my-app/1.0.0 (node/22.0.0)" \
-H "Origin: https://example.keenauth.app" \
-b cookies.txt