使用 AspNetUserTokens 表在核心 Web API 中存储刷新令牌 ASP.NET

Question

我和ASP一起工作。NET核心Web API应用程序。我正在尝试在ASP之上实现基于Jwt令牌的身份验证。NET标识（内置数据库表）。

我已经实现了所有的场景，如注册用户，登录等，但现在试图实现刷新令牌流(当访问令牌过期时，客户端需要使用刷新令牌替换访问令牌)。我看到人们正在创建新的表(refreshToken)来存储刷新令牌，这样就可以用访问令牌来验证它，并将生成新的访问和刷新令牌

https://www . blinking caret . com/2018/05/30/refresh-tokens-in-ASP-net-core-we b-API/

https://www.c-sharpcorner.com/article/handle-refresh-token-using-asp-net-core-2-0-and-json-web-token/

我已经创建了新表（刷新令牌）来存储刷新令牌并验证它以生成访问令牌，它工作正常，但我想看看我是否可以使用现有的 AspNetUserTokens 表来处理相同的情况。我了解AspNetUserTokens表用于确认电子邮件，忘记密码等。

我的问题是：如果有人使用AspNetUserTokens来存储刷新令牌，请分享想法，因为usermanager类不公开直接令牌模型（AspNetUserTokens），并且不确定我是否使用IdentityDbContext，有什么缺点？我已经实现了IdentityDbContext，但我没有看到Microsoft.AspNetCore.Identity中的内置类来将令牌存储在AspNetUserTokens中。

会非常感谢一些指导。

谢谢你

Answer 1

我会直接回答你的问题，然后提出一个替代方案。您可以使用AspNetUserTokens表删除、设置、获取和验证令牌。然而，你可以跳过数据库，我将在下面描述。

用户管理器的以下方法将生成并存储：

await _userManager.RemoveAuthenticationTokenAsync(user, "MyApp", "RefreshToken");
var newRefreshToken = await _userManager.GenerateUserTokenAsync(user, "MyApp", "RefreshToken");
await _userManager.SetAuthenticationTokenAsync(user, "MyApp", "RefreshToken", newRefreshToken);

UserManager的以下方法将获取并验证:

var refreshToken = await _userManager.GetAuthenticationTokenAsync(user, "MyApp", "RefreshToken");
var isValid = await _userManager.VerifyUserTokenAsync(user, "MyApp", "RefreshToken", refreshToken );

您需要在启动中使用 IdentityBuilder 设置这样的提供程序。

identity.AddTokenProvider("MyApp", typeof(DataProtectorTokenProvider<User>)

作为将这些令牌存储在数据库中的替代方法，您可以根据需要使用以下方法使所有令牌失效。您可以将其作为注销的一部分。

_userManager.UpdateSecurityStampAsync(user);