如何测试我的令牌是否使用 IdentityServer4 刷新？

Question

我用IdentityServer4创建了一个令牌我复制了这个例子我只是修改了这个

在身份服务器中-

public static IEnumerable<Client> GetClients()

{
    return new List<Client>
    {
        new Client
        {
            ClientId = "client",
            AllowedGrantTypes = GrantTypes.ClientCredentials,
            ClientSecrets =
            {
                new Secret("secret".Sha256())
            },
            AllowedScopes = { "tbtsmth" },
            AccessTokenLifetime = 10,
            IdentityTokenLifetime = 10 

        }
    };
}

我的令牌应该在10秒后到期，并且每10秒我有一个刷新令牌，但我不知道如何测试它。我做类似的事情:

var tokenHandler = new JwtSecurityTokenHandler();
var jwtSecurityToken = tokenHandler.ReadJwtToken(tokenResponse.AccessToken);

Thread.Sleep(10000);

if (jwtSecurityToken.ValidTo < DateTime.UtcNow)
    Console.WriteLine("expired");
else
    Console.WriteLine("not expired");

它退回已过期的商品，我认为它应该退回我未过期的商品，因为它会被刷新。

Answer 1

客户端凭据流中没有刷新令牌。从文档中：

以下流支持刷新令牌：授权码、混合和资源所有者密码凭据流。

不涉及任何用户，因此不需要刷新令牌。您只需请求一个新令牌。

那么什么时候可以使用刷新令牌呢？当在用户流中需要访问令牌时，例如，当您有一个不使用cookie或需要访问api的客户端时。

Jwt访问令牌的问题是令牌过期。一旦过期，需要用户交互来请求新的访问令牌。因为这不是一个好的用户体验，所以客户端可以使用刷新令牌来请求新的访问令牌。

刷新令牌与jwt访问令牌不同。刷新令牌不必是Jwt令牌，它保留在服务器端，并且比访问令牌的生命周期（过期）长得多，并且可以撤销。撤消刷新令牌意味着不能再使用刷新令牌。

将刷新令牌视为允许客户端请求新访问令牌的某种密钥。

刷新令牌永远不会自动进行，因此您必须在客户端中构建逻辑来刷新令牌。以下是有关如何为允许的流刷新令牌的示例。

从我这里的回答来看，流程可能是这样的：

< li >用户登录，接收JWT访问令牌(5分钟)和刷新令牌1代码(48小时)。刷新令牌1保存在服务器上。 < li >五分钟后:访问令牌过期 < li >使用刷新令牌1请求新的访问令牌。 < li >用户收到新的访问令牌(5分钟)和刷新令牌2代码(48小时)。令牌1从存储器中移除，令牌2被添加到存储器中。 < li >这种情况会持续几个小时。 < li >用户有两天没有使用该应用程序 < li>50小时后:由于两个令牌都已过期，用户必须再次登录。重置流程。