如何使用Azure Active Directory刷新web应用程序中的访问令牌

Question

我目前正在与访问令牌的生存期作斗争。我有dotnet核心Web应用程序和dotnet核心Web API。

web应用程序受OpenIDConnect授权的保护。一旦您尝试连接到web应用程序，您将被重定向到Microsoft登录表单，成功登录后，访问令牌将被提供并与刷新令牌一起存储到cookie中。

因此，访问令牌在授权头中传递给我的WebAPI请求。当access_token生存期到期时，我的WebAPI开始返回未经授权的401。

我读了很多关于使用刷新令牌撤消访问令牌的文章，但我没有找到任何实现示例，所以我转向你们。

        services.AddDataProtection();
        services.AddAuthorization();
        services.AddWebEncoders();
        services.AddAuthentication(sharedOptions =>
        {
            sharedOptions.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
            sharedOptions.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
        })
        .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme)
        .AddOpenIdConnect(OpenIdConnectDefaults.AuthenticationScheme, options =>
        {
            options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
            options.ClientId = Configuration["AzureAd:ClientId"];
            options.Authority = $"{Configuration["AzureAd:AadInstance"]}{Configuration["AzureAd:Tenant"]}/v2.0";
            options.ClientSecret = Configuration["AzureAd:ClientSecret"];
            options.ResponseType = "code";
            options.SaveTokens = true;
            options.UseTokenLifetime = true;
            
            options.Scope.Add(Configuration["AzureAd:Scope"]);

            options.TokenValidationParameters = new TokenValidationParameters()
            {
                ValidateIssuer = Configuration["AzureAd:Tenant"] != "common",
                RoleClaimType = JwtClaimTypes.Role
            };
            options.Events = new OpenIdConnectEvents
            {
                OnRemoteFailure = context =>
                {
                    context.HandleResponse();
                    context.Response.Redirect("/error");
                    return Task.CompletedTask;
                }
            };
        });

        services.AddHttpContextAccessor();

            services.AddAuthentication("Bearer")
            .AddJwtBearer(
                "Bearer",
                options =>
                {
                    options.Authority = $"{Configuration["AzureAd:AadInstance"]}{Configuration["AzureAd:Tenant"]}/v2.0";
                    options.Audience = Configuration["AzureAd:Audience"];
                    options.TokenValidationParameters.ValidateIssuer = false;
                });

最后，这是我的ApiService的构造函数，在这里我将访问令牌添加到头部。

    protected ApiService(HttpClient httpClient, string apiUri, IHttpContextAccessor httpContextAccessor, ILogger<ApiService> logger)
    {
        this.httpClient = httpClient;
        this.apiUri = apiUri;
        this.logger = logger;
        context = httpContextAccessor.HttpContext;

        this.httpClient.DefaultRequestHeaders.Authorization
            = new AuthenticationHeaderValue("Bearer", context.GetTokenAsync("access_token").Result);
    }

如果你需要更多的信息，告诉我，我会提供的。谢谢！

Answer 1

正如我现在所指出的，您拥有基本的ASP.NET核心Web应用程序(MVC，或Razor)，并且希望使用Azure Ad来保护它。

如果我的理解是正确的，您应该利用Microsoft.Identity.web库：https://github.com/azuread/microsoft-identity-web

它目前仍在预览，但我可以确认，它的工作稳定。以下是如何将其与ASP.NET核心web应用程序集成的详细说明：https://github.com/azuread/microsoft-identity-web/wiki/web-apps