使用Identity Server 4刷新包含视图和资源的MVC Core App中的访问令牌的最佳实践

Question

我一直在阅读(和观看视频)关于如何在使用带有大量ajax调用的MVC Core应用程序时最好地实现访问和刷新令牌.我想我做对了,但只是想知道是否有更好的方法来做到这一点.我将编辑此帖子,以便它可以作为任何寻找此信息的人的参考.

我的设置:我有一个包含大量JavaScript的MVC Core应用程序.JavaScripts使用ajax调用来检索json或调用操作.

由于我不希望我的用户能够使用cookie身份验证访问我的api,我使用app.Map将我的应用程序拆分为两部分.用户可以使用身份令牌访问视图的用户,以及需要访问令牌的用户.我还要添加一个cookie来保存我需要刷新访问令牌的时间.

Startup.cs(我删除了不重要的部分)

  app.UseCookieAuthentication(new CookieAuthenticationOptions
  {
    AuthenticationScheme = "Cookies",
    AutomaticAuthenticate = true,
    ExpireTimeSpan = TimeSpan.FromMinutes(60)
  });

  JwtSecurityTokenHandler.DefaultInboundClaimTypeMap.Clear();

  var oidcOptions = new OpenIdConnectOptions
  {
    AuthenticationScheme = "oidc",
    SignInScheme = "Cookies",

    Authority = LoginServerUrl,
    RequireHttpsMetadata = false,
    ClientId = "MyApp",
    ClientSecret = "*****",
    ResponseType = "code id_token",
    SaveTokens = true,
    Events = new OpenIdConnectEvents()
    {
      OnTicketReceived = async notification =>
      {
        notification.Response.Cookies.Append("NextAccessTokenRefresh", DateTime.Now.AddMinutes(30).ToString());
        notification.Response.Cookies.Delete("AccessToken");
      },
    },

    TokenValidationParameters = new Microsoft.IdentityModel.Tokens.TokenValidationParameters
    {
      NameClaimType = JwtClaimTypes.Name,
      RoleClaimType = JwtClaimTypes.Role,
    },
  };

  oidcOptions.Scope.Clear();
  oidcOptions.Scope.Add("openid");
  oidcOptions.Scope.Add("roles");
  oidcOptions.Scope.Add("offline_access");

  app.UseOpenIdConnectAuthentication(oidcOptions);

  app.Map("/api", (context) =>
  {
    var bearerTokenOptions = new IdentityServerAuthenticationOptions
    {
      AuthenticationScheme = "Bearer",
      Authority = LoginServerUrl,,
      RequireHttpsMetadata = false,
      ScopeName = "MyApi",
      AutomaticAuthenticate = true
    };

    context.UseIdentityServerAuthentication(bearerTokenOptions);
    context.UseMvcWithDefaultRoute();
  });

使用以下url/api/[Controller]/[Action]完成对控制器操作的所有ajax调用.

我不希望使用身份令牌访问我的api,因此我还将Authorize(ActiveAuthenticationSchemes ="Bearer")属性添加到控制器操作中.所以现在我的javascript调用的控制器动作如下所示:

[HttpPost, Authorize(ActiveAuthenticationSchemes = "Bearer")]
public async Task<JsonResult> DoStuff()
{
}

当javascript需要访问api资源时,控制器首先检索访问令牌并使用自定义javascript init方法将其注入到javascript中.

此C#方法负责刷新和重新访问访问cookie.

public async Task<string> GetAccessTokenAsync()
{
  var accessToken = _contextAccessor.HttpContext.Request.Cookies["AccessToken"];
  var nextAccessTokenRefresh = _contextAccessor.HttpContext.Request.Cookies["NextAccessTokenRefresh"];
  if (string.IsNullOrEmpty(nextAccessTokenRefresh) || string.IsNullOrEmpty(accessToken) || DateTime.Parse(nextAccessTokenRefresh) <= DateTime.Now)
  {
    var refreshToken = await _contextAccessor.HttpContext.Authentication.GetTokenAsync("refresh_token");
    var tokenClient = new TokenClient(_appSettings.LoginServerUrl + "/connect/token", _appSettings.LoginClientId, _appSettings.LoginClientSecret);
    var response = await tokenClient.RequestRefreshTokenAsync(refreshToken);
    accessToken = response.AccessToken;

    //Set cookies for next refresh
    _contextAccessor.HttpContext.Response.Cookies.Append("NextAccessTokenRefresh", DateTime.Now.AddMinutes(30).ToString());
    _contextAccessor.HttpContext.Response.Cookies.Append("AccessToken", response.AccessToken);
  }

  return accessToken;
}

在我所有的$ .ajax上,我添加了以下参数:

beforeSend: function(xhr, settings) { xhr.setRequestHeader('Authorization','Bearer ' + accessToken); }

而已.默认访问令牌到期时间为一小时.一半时间后我总是刷新它.

现在问我的问题:

1. 我能以任何方式改进我的代码吗？
2. 你是否看到任何与安全相关的风险？
3. 我可以在OnTicketReceived中检索访问令牌吗？

Answer 1

我可以以任何方式改进我的代码吗？

你的Startup.cs应该是这样的（因为Map仅适用于“/api”路径。有关更多信息，请参阅https://docs.asp.net/en/latest/fundamentals/middleware.html#run-map-and-use）：

app.MapWhen(context => !context.Request.Path.Value.StartsWith("/api"), builder=>
{
    app.UseCookieAuthentication(options);
    ...
    app.UseOpenIdConnectAuthentication(oidcOptions);
    ....
});

app.MapWhen(context => context.Request.Path.Value.StartsWith("/api"), builder=>
{
    var bearerTokenOptions = new IdentityServerAuthenticationOptions
    {
      AuthenticationScheme = "Bearer",
      Authority = LoginServerUrl,,
      RequireHttpsMetadata = false,
      ScopeName = "MyApi",
      AutomaticAuthenticate = true
    };

    context.UseIdentityServerAuthentication(bearerTokenOptions);
    context.UseMvcWithDefaultRoute();
});

第二点，您的 cookie 过期时间为 60 分钟，在这种情况下，您的刷新令牌的生命周期将为 60 分钟。我认为这可能是一个问题。

您认为这样做有任何与安全相关的风险吗？

我没有足够的使用刷新令牌的经验，所以我不能说你的实现是否安全。但我认为刷新令牌（对于您的实现）增加了复杂性和安全风险（这只是我的观点，我不是安全专家）。我只会使用具有隐式流程的长期访问令牌（因为简单）。

我可以在 OnTicketReceived 中检索访问令牌吗？

是的你可以：

OnTicketReceived = ctx =>
{
     var token = ctx.Ticket.Properties.GetTokenValue("access_token");
     ...
}