Отзыв доступа

• метод: POST
• ресурс: revocation_endpoint из метаданных
• тело: application/x-www-form-urlencoded, параметры client_id, token, необязательный token_type_hint (refresh_token или access_token)

curl -X POST https://api.invoicebox.ru/v3/security/oauth/revoke \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d 'client_id=my-service' \
  -d 'token=def50200a1b2…' \
  -d 'token_type_hint=refresh_token'

Ответ — пустой 200, в том числе на неизвестный или уже отозванный токен. Это требование стандарта: иначе по ответу можно было бы перебором выяснять, какие токены ещё действуют. Отзыв токена обновления прекращает доступ и по токенам, выданным его обновлением.

Пользователь со своей стороны отзывает доступ в личном кабинете, и делать для этого ничего не нужно.

Читайте также

• Обновление токена
• Сессия и безопасность
• Безопасность работы с API