JWT身份验证方案中的刷新令牌在哪里生成？
当用户发送他的用户名/密码时，服务会发送回JWT，该JWT存储在客户端的localStorage中。这个很管用。但是，我想使用刷新令牌继续向客户端发出新的JWT，使用户在使用该应用程序时保持登录状态。这些刷新令牌应该发在哪里？是否应在用户发送其用户名/密码时发出？如果是这样，那么在tymon/jwt-auth库中似乎没有一种方法可以将刷新令牌发送到客户机。请帮帮我，我很难想清楚这是怎么工作的。
共有1个答案
在使用OAUTH2.0授权服务器进行身份验证时，是否获得刷新令牌取决于您使用的OAuth授权。
当您的客户机是SPA（不受信任的客户机）时，您可能使用隐式授权，而该授权不支持刷新令牌。
一些公司实现了一些库，这些库能够使用隐藏的iframe中的请求刷新授权服务器颁发的访问令牌。我对你正在使用的图书馆不熟悉。
-
编辑： 阅读有关bug的讨论：https://github.com/tymondesigns/jwt-auth/issues/83 我原来的问题是： 我正在使用jwt auth my protected resources实现，该资源需要经过身份验证的用户，代码如下： 当用户在API上登录时，将创建一个授权令牌，并将响应授权标头发送到调用资源的客户端应用程序。因此，客户端应用程序在截获任何响应的头
-
我正在做一个项目（没有生产级别，只是为了提高我的技能），我正在使用JWT来处理身份验证。从我所读到的内容来看，仅使用JWT作为访问令牌是非常不安全的，因此我们需要刷新令牌。因此，在登录时，服务器返回一个访问令牌和一个刷新令牌（我将存储在httpOnly cookie中）。访问令牌在短时间内到期，但刷新令牌在到期时用于获取新令牌。 我的问题是，我们何时使用刷新令牌来获取新的访问令牌？是当用户想要获得
-
我引用的是另一篇讨论在JWT中使用刷新令牌的SO帖子。 JWT（JSON Web令牌）自动延长到期时间 我有一个应用程序，它具有一个非常通用的体系结构，在这个体系结构中，我的客户机（web和移动）与一个REST API对话，然后再与一个服务层和数据层对话。 令牌每小时由客户端刷新一次。 如果用户令牌未被刷新（用户处于非活动状态且应用程序未打开）并且过期，则无论何时他们想要恢复，都需要登录。 我看到
-
我在做一个全堆栈的web应用程序。我的前端由angular-cli组成，后端由node+Express构建。
-
我正在阅读JWT的示例文件夹，我有点不确定验证令牌的工作原理。 这里直接使用“mySigningKey”在中签名 现在，对我来说，未解析就不那么清楚了： 是为了验证客户端返回的令牌字符串的签名是否有效，您是否需要 解码声明（在&MyCustomClaims{}中完成） 使用token.valid验证解码声明的签名部分对“令牌中包含的pub密钥”是否有效。 但这个例子只是解码密钥，通过“魔术”返回的
-
我正在尝试构建一个可以与azure web app通信的VSTS扩展。我能够做到这一点，但没有身份验证。我指的是Microsoft文档。 我获取了从浏览器即控制台生成的令牌。登录（令牌）并在此网站中验证。 上面写着无效的签名。 所提到的逻辑。Net framework验证生成的令牌无效。它给了我以下错误： IDX10500：签名验证失败。无法解析SecurityKeyIdentifier：“Sec