ASP Web API如何在Http请求授权期间使用刷新令牌生成新令牌

Question

我正在我的 asp.net Web API 中使用访问令牌。我正在使用Angular4作为客户端应用程序。登录后，我同时获得了访问令牌和刷新令牌。我有一个授权属性来检查我的 Get/Post 请求是否有效。 我在每个请求中发送带有访问令牌的刷新令牌。当我的访问令牌过期时，我的授权属性阻止我访问获取/发布功能。如何使用有效的刷新令牌授权我的 get/post 函数，并在验证 get/post 方法期间生成新的访问令牌。

Answer 1

访问令牌和刷新令牌是两个不同的东西。

访问令牌用于访问资源。您可以在每次请求时向资源发送访问令牌。

刷新令牌用于获取新的访问令牌，而无需发送凭据。刷新令牌将发送到授权终结点。但仅在访问令牌过期（返回未经授权的响应）之后。

确保刷新令牌不会在访问令牌过期之前过期。因为否则你必须再次发送凭据。

还要注意，refesh令牌应该保密，因为它可以用来检索令牌，而不必发送凭证。总是通过安全线路发送。

-更新-

刷新令牌的服务器端

我假设您有一个OAuthAuthorizationServerProvider来处理登录。类似于：

internal class ApplicationOAuthProvider : OAuthAuthorizationServerProvider
{
    public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
    {

为了选择加入，您可以重写GrantRefreshToken以接受刷新令牌：

public override async Task GrantRefreshToken(OAuthGrantRefreshTokenContext context)
{
    // chance to change authentication ticket for refresh token requests
    var userManager = context.OwinContext.GetUserManager<ApplicationUserManager>();
    var appUser = await userManager.FindByNameAsync(context.Ticket.Identity.Name);
    var oAuthIdentity = await appUser.GenerateUserIdentityAsync(userManager);
    var newTicket = new AuthenticationTicket(oAuthIdentity, context.Ticket.Properties);

    context.Validated(newTicket);
}

添加提供程序以将刷新令牌添加到票证：

internal class ApplicationOAuthRefreshTokenProvider : AuthenticationTokenProvider
{
    public override void Create(AuthenticationTokenCreateContext context)
    {
        var form = context.Request.ReadFormAsync().Result;
        var grantType = form.GetValues("grant_type");

        // If I remember correctly we arrive here for all implemented grant types.
        // But we don't want to add a refresh token to the refresh token itself.

        if (grantType[0] != "refresh_token")
        {
            // 35 days.
            int expire = 35 * 24 * 60 * 60;
            context.Ticket.Properties.ExpiresUtc = new DateTimeOffset(DateTime.Now.AddSeconds(expire));
            context.SetToken(context.SerializeTicket());
        }
        base.Create(context);
    }

    public override void Receive(AuthenticationTokenReceiveContext context)
    {
        context.DeserializeTicket(context.Token);
        base.Receive(context);
    }

}

别忘了在创业公司注册：

public partial class Startup
{
    public void ConfigureAuth(IAppBuilder app)
    {
        // Other statements ...

        // Configure the application for OAuth based flow
        var oAuthOptions = new OAuthAuthorizationServerOptions
        {
            TokenEndpointPath = new PathString("/Token"),
            Provider = new ApplicationOAuthProvider("self"),
            AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
#if LIVE
            AllowInsecureHttp = false,
#else
            AllowInsecureHttp = true,
#endif
            RefreshTokenProvider = new ApplicationOAuthRefreshTokenProvider()
        };
        app.UseOAuthBearerTokens(oAuthOptions);
    }