JWT令牌身份验证、过期令牌仍在工作、.NET core Web Api

Question

我创建了一个位于web客户端中的简单的Angular应用程序。当我进行身份验证时，将向客户端发送一个令牌。我现在将其存储在会话中（仍然在dev中，因此将解决以后存储在何处的安全问题）。

我不确定这（JWT（JSON Web令牌）自动延长到期）是否有用，因为就我所知，我还没有实现刷新令牌。

我注意到，当我调用logout，然后再次登录时，客户机被发送一个新的令牌--正如预期的那样。但是，如果过了令牌到期时间（为了测试，我设置为1分钟），然后刷新页面，那么令牌在我的App中似乎保持不变。也就是说，就好像令牌永远不会过期？！

谢谢你的帮助

Answer 1

我相信这与JWTBearerOptions中的ClockSkew有关。

更改为TimeSpan.Zero，因为我相信默认设置为5分钟（但不是100%确定）。

我在下面发布了一些要放在startup.cs=>configure中的示例代码。

        app.UseJwtBearerAuthentication(new JwtBearerOptions()
        {
            AuthenticationScheme = "Jwt",
            AutomaticAuthenticate = true,
            AutomaticChallenge = true,
            TokenValidationParameters = new TokenValidationParameters()
            {
                ValidAudience = Configuration["Tokens:Audience"],
                ValidIssuer = Configuration["Tokens:Issuer"],
                ValidateIssuerSigningKey = true,
                IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Tokens:Key"])),
                ValidateLifetime = true,
                ClockSkew = TimeSpan.Zero
            }
        });