刷新令牌请求是否返回新的刷新令牌？

Question

我在自己的Web API上使用Oauth2,在Web应用程序上使用ASP.NET C#来使用该API。在我的web应用程序上，我正在进行HttpWebRequests。当我的访问令牌过期时，我调用一个方法“refreshToken”，该方法发出请求以获取新的访问令牌。这工作很好，没有问题...除了我得到的响应包含一个新的刷新令牌？？？我在等新的访问令牌。我甚至认为在没有再次传递凭据的情况下这是不可能的，但是我的grant_type=refresh_token正在以某种方式生成一个新的刷新令牌，这让我很担心。

Answer 1

请看Taiseer Joudeh的这篇帖子（顺便说一下，这是一个现象级的系列帖子）。

您将在SimpleFreshTokenProvider的CreateAsync方法中发现，刷新令牌被删除并重新创建，它提供了“滑动过期”。如果您不希望每次都有新的刷新令牌，请不要删除/重新创建。

var result = await tokenRepository.AddRefreshToken(token);

public async Task<bool> AddRefreshToken(AspNetRefreshToken token)
{
    var existingToken = _context.AspNetRefreshTokens.SingleOrDefault(r => r.Subject == token.Subject && r.ClientId == token.ClientId);

    if (existingToken != null)
    {
        await RemoveRefreshToken(existingToken);
    }

    _context.AspNetRefreshTokens.Add(token);

    return await _context.SaveChangesAsync() > 0;
}

因此，在没有看到您的代码的情况下，我会说它按照预期工作。如果您不想滑动过期，请不要让提供程序每次都重新创建刷新令牌。