IsAuthenticated在到期后保持为真

Question

我收到了一个要求，在新的一个月开始时强制重新授权用户（我们有一个月订阅模式）。为了实现这一点，并且不影响应用html" target="_blank">程序中使用的其他身份验证提供者，我修改了登录调用，如下所示：

以前：

await HttpContext.SignInAsync(authorizationProvider.GetClaimsPrincipal());

之后:

await HttpContext.SignInAsync(authorizationProvider.GetClaimsPrincipal(), authorizationProvider.GetAutheticationProperties());

public AuthenticationProperties GetAutheticationProperties() =>
   new AuthenticationProperties
   {
      ExpiresUtc = DateTimeOffset.UtcNow.AddMinutes(1),
      IsPersistent = true,
      AllowRefresh = false
   };

请注意，出于测试目的，< code > expire suc 将被设置为1分钟；一旦实施成功，它将被计算到月底。

我期望我们的身份（扩展ClaimsIdentity）在到达ExpiresUtc后会获得其属性 false，但事实并非如此。正在读取ClaimsIdentity。IsAuthenticated声明

如果身份已通过身份验证，则为true；否则为假。备注：如果身份验证类型属性不是null或空字符串，则为true。

现在我很困惑..到期后我会发生什么？分别，身份如何成为 IsCertified == 假？

我们目前使用 asp.net 核心 2.2，并且正在迁移到 3。

身份验证在应用程序启动时像这样注册（Startup.cs）：

        var expirationInMinutes = Convert.ToInt32(Configuration["Authentication:ExpirationInMinutes"]);
        services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
                // Configure cookie authentication
                .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme, o =>
                                                                              {
                                                                                  o.LoginPath = new PathString("/Account/LogOn");
                                                                                  o.LogoutPath = new PathString("/Account/LogOut");
                                                                                  o.AccessDeniedPath = new PathString("/Account/AccessDenied");
                                                                                  o.SlidingExpiration = true;
                                                                                  o.ExpireTimeSpan = TimeSpan.FromMinutes(expirationInMinutes);
                                                                                  o.Cookie.Expiration = TimeSpan.FromMinutes(expirationInMinutes);
                                                                                  o.EventsType = typeof(CustomCookieAuthenticationEvents);

                                                                                  // Used because of safari
                                                                                  o.CookieManager = new ChunkingCookieManager()
                                                                                                    {
                                                                                                        ChunkSize = 2048,
                                                                                                        ThrowForPartialCookies = true
                                                                                                    };
                                                                              });

Answer 1

没有如期到期的另一个原因可能是ClockSkew。默认情况下，您的令牌将在5分钟内有效。

请参阅JWT令牌身份验证，过期的令牌仍然有效，.net core Web Api

Answer 2

当用户通过身份验证时，将发出票证。为了节省数据库查询，该票证会在一定时间间隔内重新验证（默认为20分钟）。当身份验证票证过期时，在票证重新验证之前，该票证不会真正生效，因此，如果您的验证间隔为20分钟，无论您将过期设置为什么，它们都将保持登录至少20分钟。

您可以降低这个时间间隔，如果愿意的话，可以一直降低到零，这实际上意味着每一次请求都会重新验证该票证。然而，时间间隔越短，数据库需要处理的查询就越多，所以这是一个权衡。要更改间隔，只需添加:

services.Configure<SecurityStampValidatorOptions>(c =>
{
    c.ValidationInterval = TimeSpan.FromMinutes(1);
});