标签: refresh-token

我有一个基于 .net core 2.0 的 web api 项目。

我几乎遵循了http://kevinchalet.com/2017/01/30/implementing-simple-token-authentication-in-aspnet-core-with-openiddict/上的非常好的例子。

返回身份验证的 SignIn() 结果的代码。方法看起来像这样：

if (request.IsPasswordGrantType())
{
    // (...)
    if (useraccount != null && useraccount.Failcount <= AppConstants.AuthMaxAllowedFailedLogin)
    {
        var identity = new ClaimsIdentity(OpenIdConnectServerDefaults.AuthenticationScheme, OpenIdConnectConstants.Claims.Name, OpenIdConnectConstants.Claims.Role);

        identity.AddClaim(OpenIdConnectConstants.Claims.Subject, AppConstants.AuthSubjectClaim, OpenIdConnectConstants.Destinations.AccessToken);
        identity.AddClaim(OpenIdConnectConstants.Claims.Name, useraccount.Username, OpenIdConnectConstants.Destinations.AccessToken);

        return SignIn(new ClaimsPrincipal(identity), OpenIdConnectServerDefaults.AuthenticationScheme);
    }
    // (...)
}

我的启动代码如下所示：

services.AddDbContext<DbContext>(options =>
{
    options.UseInMemoryDatabase(nameof(DbContext));
    options.UseOpenIddict();
});

services.AddOpenIddict(options =>
{
    options.AddEntityFrameworkCoreStores<DbContext>();
    options.AddMvcBinders();
    options.EnableTokenEndpoint(DcpConstants.ApiTokenRoute);
    options.AllowPasswordFlow();
    options.AllowRefreshTokenFlow();
    options.SetAccessTokenLifetime(TimeSpan.FromHours(1));
    options.SetRefreshTokenLifetime(TimeSpan.FromDays(1));
    options.DisableHttpsRequirement();
});

services.AddAuthentication(options =>
{
    options.DefaultScheme = OAuthValidationDefaults.AuthenticationScheme;
}).AddOAuthValidation();

现在，当我使用以下参数发送 post 请求时：

username: foo@bar.com …

我正在尝试开发一个使用 Authlib OAuth2 服务器获取刷新令牌的简单工具，但此处的示例服务器不发出刷新令牌。当我打印令牌时，我得到以下信息：

{'access_token': '....', 'scope': 'profile', 'token_type': 'Bearer', 'expires_in': 864000, 'expires_at': 1532191887}

流程是此处提到的授权代码；首先我处理同意部分：

client_id = '...'
client_secret = '.....'
scope = '...'
session = OAuth2Session(client_id, client_secret, scope=scope)
authorize_url = '.../oauth/authorize'
uri, state = session.authorization_url(authorize_url)

然后我尝试获取令牌：

urlset = '.../?code=...&state=...'
access_token_url = '.../oauth/token'
token = session.fetch_access_token(access_token_url,authorization_response=urlset)    

在我们的 Web 应用程序 (ASP.NET) 中，我们使用 OpenID Connect 和授权代码流：

1. 用户被重定向到身份提供者（例如 Azure AD），进行身份验证，
2. 授权代码被发回我们的 Web 应用程序中的页面。
3. 然后，我们的 Web 应用程序使用授权代码从身份服务器检索刷新令牌、id 令牌和访问令牌。这些作为 cookie 存储在客户端上（HttpOnly 标志设置为 true）。这是为了避免对服务器状态的依赖，以防用户被负载均衡器路由到不同的 Web 服务器。
4. 当用户访问页面时，我们会验证 ID 令牌的签名和有效期，并根据应用程序中的用户数据库检查我们用于身份的声明（例如电子邮件地址或 UPN）。

这是有效的——除了我们无法刷新 ID 令牌，因此用户在 1 小时后超时，需要重新登录。根据 OpenID Connect 规范，当使用令牌端点刷新令牌时，并非所有 OpenID Connect 提供者都会提供新的 ID 令牌。

到目前为止我们看到的替代方案：

1. 根本不要使用 ID 令牌。使用访问令牌查询用户声明的 UserInfo 端点，并将其缓存在服务器上（在缓存未命中时，例如，如果路由到不同的 Web 服务器 - 只需使用 cookie 中提供的访问令牌再次请求 UserInfo）。由于可以刷新访问令牌，这可能会正常工作。
   • 优点：我们得到一个正确刷新的令牌，由服务器验证。
   • 缺点：并非所有声明（例如 aud 和 iss）都由 UserInfo 端点提供，至少对于 Azure AD 而言。
2. 不要验证 ID 令牌的到期时间，只要它不超过例如 12 小时。
   • 优点：简单，只需很少的努力就可以改变当前的行为。拥有我们今天也拥有的所有声明。
   • 缺点：可能存在安全风险？注释？

那么在较长时间内保留用户登录的推荐方法是什么？将访问令牌与 UserInfo 端点一起使用是合适的解决方案吗？

访问 Google-Drive 时，访问令牌可能会过期，我们可以使用刷新令牌来获取新的访问令牌。不过，刷新令牌本身停止工作或过期的可能原因有很多，请参阅：

https://developers.google.com/identity/protocols/OAuth2#expiration

所以我的问题是，如果刷新令牌在 6 个月后过期会发生什么，我如何检测它？刷新访问令牌的请求是否因403 禁止而失败，或者是否返回包含错误消息的 JSON，或者其他内容？

不幸的是很难找到这方面的任何信息，要测试它必须等待 6 个月......

解决方案：

感谢 Gary Archers 的回答，我可以使用无效的刷新令牌来产生这种情况，这是我得到的响应，也许它可以帮助其他人：

HTTP-status-code: 400
JSON:
{
  "error": "invalid_grant",
  "error_description": "Bad Request"
}

我们有这份文档解释了如何使用自定义策略设置让我登录 (KMSI)：https ://docs.microsoft.com/en-us/azure/active-directory-b2c/custom-policy-keep -我已登录

好的，太好了，所以我们现在知道如何使用（令人讨厌的复杂）XML 策略文件为复选框设置一些 UI。但这实际上是在做什么？ 哪里有这方面的资料？

• 它是否为客户端提供了一个新的 ID 令牌而无需重新验证？
• 它是否提供了新的 auth_code？
• 是否使用了隐藏的 i-frame？
• 如何从客户端应用程序实际调用/完成刷新？（温泉）
• 是否需要往返 B2C，它只是不要求用户提供凭据并将它们直接重定向回应用程序？或者应用程序是否能够使刷新请求完全 UI/UX 静默？如果是这样，如何？API在哪里？需要 MSAL.js 中的某些东西吗？
• 为什么只有本地？如果 B2C 是“中间人”IDP，并且它发行的代币是它自己的（当然实际上不是来自社交帐户），那么为什么不能以这种方式为所有帐户类型（本地或社交）刷新代币？

我的理解是，对于隐式授予，存储刷新令牌是不可能的，因此保留会话 cookie 并使用它通过 i-frame 获取新会话prompt=none是一个 HACK，能够保持会话 cookie 更新和最新。

这是前 MS（现为 Auth0）身份专家 Vittorio 的一篇文章：https ://auth0.com/blog/oauth2-implicit-grant-and-spa/

他提到了Refresh Token Rotation 的“ Renewing Access Tokens ” 。这被描述为：