用于刷新的角度JWT拦截器交换机承载令牌

Question

我已经实现了 JWT 和刷新令牌流。当我过去实现这一点时，我的做法略有不同，主要是刷新令牌是在正文中发送的。

但是现在我做了不同的事情，我必须通过授权标头发送访问令牌，但是我的拦截器代码不想切换不记名令牌。如何修复，如果我想刷新，我实际上使用刷新令牌作为不记名令牌，而不是过期的访问令牌？

intercept(
    request: HttpRequest<any>,
    next: HttpHandler
  ): Observable<HttpEvent<any>> {
    const token = this.userService.getJWTToken();
    if (token) {
      request = this.addToken(request, token);
    }

    return next.handle(request).pipe(
      catchError((error) => {
        if (error instanceof HttpErrorResponse && error.status === 401) {
          return this.handle401Error(request, next);
        } else if (error.status !== 0) {
          return throwError(error);
        }
      })
    );
  }

private addToken(request: HttpRequest<any>, token: string): HttpRequest<any> {
    return request.clone({
      setHeaders: {
        Authorization: `Bearer ${token}`,
      },
    });
  }

  private handle401Error(
    request: HttpRequest<any>,
    next: HttpHandler
  ): Observable<HttpEvent<any>> {
    if (!this.isRefreshing) {
      this.isRefreshing = true;
      this.refreshTokenSubject.next(null);

      //This is what I've tried, to switch out the tokens
      request = this.addToken(request, this.userService.getRefreshToken());

      //this.userService.refreshToken() is a POST request, where I want the refresh token as the bearer token, instead of the access token
      return this.userService.refreshToken().pipe(
        switchMap((token: TokenDTO) => {
          this.isRefreshing = false;
          this.refreshTokenSubject.next(token.accessToken);
          return next.handle(this.addToken(request, token.accessToken));
        })
      );
    } else {
      return this.refreshTokenSubject.pipe(
        filter((token) => token != null),
        take(1),
        switchMap((accessToken) =>
          next.handle(this.addToken(request, accessToken))
        )
      );
    }
  }

我还尝试在post请求中将HTTP标头设置为授权承载令牌

public refreshToken(): Observable<TokenDTO> {
    const headers = new HttpHeaders({
      'Content-Type': 'application/json',
      Authorization: `Bearer ${this.getRefreshToken()}`,
    });

    return this.httpClient
      .post<TokenDTO>(`${this.hostname}/users/refreshToken`, {}, headers)
      .pipe(
        tap((tokens: TokenDTO) => {
          this.saveTokens(tokens);
        })
      );
  }

Answer 1

您不应该在授权标头中使用刷新令牌。这意味着您不应该仅根据刷新令牌的值来授权请求。如果您这样做，那么任何窃取刷新令牌的人都可以使用它来获取新的访问令牌！刷新令牌是颁发新令牌所需的数据，但您应该以另一种方式授权客户端（您的应用程序）。例如，您可以使用HTTP Basic身份验证并传递客户端的ID和机密，或者使用更复杂的东西，例如相互TLS。

Answer 2

不应将访问令牌替换为持有者令牌来刷新它，而应使用刷新令牌调用专用令牌终结点以获取新的访问令牌。有时，根据设置，您可能还会返回新的刷新令牌。