保护Azure Active Directory B2C访问令牌和刷新令牌
我已经创建了两个独立的项目；一个用于我的应用程序api，另一个用于我的应用程序客户端。我使用的是。NET Core2.2和Angular 7。我读过一些文章，其中有人说要使用httponly cookie。我在这方面的问题是；如何使用Azure Active Directory B2C？我只是很困惑，所以如果有人能清理一些东西，我将不胜感激。
共有1个答案
所以我得出了一个小小的结论，在SPA（单页应用程序）中，通常会给出一个隐式授权。这意味着没有提供刷新令牌，因为无法将其安全地存储在浏览器中。只有一个访问令牌。Acccess令牌是短暂的；因此，如果攻击者得到控制，他只能在指定的时间内进行破坏，而且受损的访问令牌更容易检测和减轻。
因此，我的方法是使用localStorage并努力防止常见的跨站点脚本(XSS)攻击。至于chrome扩展，google提供了“chrome.Identity”api，该api声称可以安全地存储令牌，并提供了获取和刷新令牌的安全方法。（src：https://www.informationsecuritybuzz.com/articles/security-and-privacy-best-practions-on-building-a-chrome-extension/）
因此，通过chrome扩展，您似乎可以维护一个长期存在的会话，但由于SPA在浏览器的实际中不存在安全性，任何会话都将被限制在访问令牌本身的生存期内。用户将需要重新进行身份验证。如果使用社交登录，这对用户来说是相当无缝的。
-
我已经阅读了JWT和访问令牌和刷新令牌。我知道您必须在很短的时间（分钟）内设置访问令牌过期，并在过期时使用刷新令牌获取新的访问令牌。 我不清楚三件事： 谁检查访问令牌是否过期？客户端是否通过发送过期的访问令牌和刷新来检查并请求新的访问代码？ 谁检查刷新令牌是否过期？（显然刷新令牌也需要过期，尽管需要更长的时间才能过期）。 在我看来，如果刷新令牌过期，则必须提示用户重新登录。在某些情况下（移动应用）
-
这是我的身份验证流程： 用户登录后收到两个令牌（具有过期时间的访问令牌和没有过期时间的刷新令牌） 对于每个用户，刷新令牌存储在数据库中名为refreshTokens的json列中（这是一个数组） 在客户端，访问令牌和刷新令牌都存储在本地存储器上 当需要验证用户时，如果访问令牌过期，将使用刷新令牌创建一个新的访问令牌，并将其发送回用户并保持用户登录 当用户注销时，数据库中存储的刷新令牌（在refre
-
null 很抱歉太啰嗦了。 提前谢了。
-
我正在使用JWTs为我的应用程序验证用户身份。当用户登录时，他们将获得一个访问令牌和一个刷新令牌。为了保证刷新令牌的安全，我不将其存储在客户端，而是将其与他们的帐户一起保存在后端，这样就不容易访问了。虽然我对刷新令牌的安全性感到困惑，但当我阅读关于如何使用刷新令牌的在线资源时，以下是我理解的逻辑： 身份验证 将访问令牌+刷新令牌存储在某个位置（在我的示例中，访问令牌位于前端，刷新令牌位于后端） 执
-
我不熟悉，它代表。我混淆了它的两个术语：访问令牌和刷新令牌。 用户注册/登录站点后，我创建和。 将刷新标记保存在数据库或cookie中。 15分钟后，用户标记访问令牌过期。 如果用户空闲2小时，我将从cookie或DB中删除刷新令牌，否则我将使用刷新令牌续订访问令牌。 有什么优化的方法可以达到这个目的吗？
-
https://login.microsoftonline.com/common/oauth2/v2.0/authorize？client_id=your_app_client_id&response_type=code&redirect_uri=https%3a%2f%2flogin.microsoftonline.com%2fcommon%2foauth2%2fnativeclient&res