使用OAuth2隐式流(IdentityServer4),用户是否必须在访问令牌到期时重新输入密码？

Question

我需要为Angular2客户端WebApp实现授权/身份验证以与资源服务器(WebApi)进行通信.

我正在调查IdentiyServer4并选择Grant Type/Flow.这里

1. 资源所有者密码凭证授权(我们现在使用的.)"这是所谓的"非交互式"身份验证,通常不建议使用".
2. 授权代码和混合< - 解决隐式流程不允许刷新令牌.(对我来说似乎相当复杂.但这是要走的路吗？)
3. 隐含流量 - 推荐用于我所看到的SPA.但是不支持刷新令牌..

使用Implicit Flow时,如何不要求SPA的用户每隔3600秒输入一次密码？推荐的access_token生命周期.我认为在获取新的授权URL时我有一些不明白的地方.

我看过的资源.

• IdentityServer4授权类型
• 客户端应用程序的隐式授权流程
• OAuth 2.0 Grants指南
• SO - Oauth2隐式流程,具有单页面应用程序刷新访问令牌

谢谢Scott的回答.我有一些阅读要做.

• IdentityServer4入门

Answer 1

使用隐式流程时，您仍然可以使用自己的 cookie 生命周期（即超过 3600 秒）。为了避免访问令牌过期，您可以利用用户仍在 IdentityServer 中进行身份验证的事实来获取另一个访问令牌，而无需刷新令牌。

IdentityModel OpenID Connect JS 客户端通过在访问令牌到期之前触发一个事件并使用 iframe 向 IdentityServer 发出新的身份验证请求来实现此目的。如果用户仍然登录到 IdentityServer（它具有不同的、通常比您自己的客户端应用程序寿命更长的 cookie），则 IdentityServer 会像正常的身份验证请求一样发回新的令牌。这发生在后台，无需用户交互，也不会中断。

查看automaticSilentRenew该库中的功能以了解实现细节。

顺便说一下，对于 IdentityServer，隐式、授权代码和混合授权类型都是 OpenID Connect 授权类型。涉及 OAuth 版本的资源可能不适用于您的用例。