刷新令牌不再工作时强制登录

Question

我有一个ASP。net core 3.1 MVC应用程序，使用OpenID连接Identity Server 4。我正在使用IdentityModel自动刷新应用程序中的访问令牌。配置如下所示：

services.AddAuthentication(options =>
{
    options.DefaultScheme = "Cookies";
    options.DefaultChallengeScheme = "oidc";
})
.AddCookie("Cookies", options =>
{    
    options.SlidingExpiration = false;
    options.ExpireTimeSpan = TimeSpan.FromMinutes(60);
})
.AddOpenIdConnect("oidc", options =>
{
    options.Authority = "https://localhost:5001";

    options.ClientId = "mvc";
    options.ClientSecret = "secret";
    options.ResponseType = "code";

    options.SaveTokens = true;

    options.Scope.Add("profile");
    options.Scope.Add("api1");
    options.Scope.Add("offline_access");
    options.GetClaimsFromUserInfoEndpoint = true;
    options.SignedOutCallbackPath = "/oidc-signout";
    options.SignedOutRedirectUri = "/goodbye";
});

services.AddAuthorization(options =>
{
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

services.AddHttpClient("api1", configure =>
{
    configure.BaseAddress = new Uri("https://localhost:6001");
});

services.AddAccessTokenManagement();

我有一个控制器，它将从使用该标识服务器保护的下游应用编程接口中提取数据。我的MVC客户端请求范围api1和offline_access来获取刷新令牌。这些令牌存储在cookie中，因为服务上设置了SaveTokens=true。

一切正常。当我登录时，我会获得访问令牌和刷新令牌。我让访问令牌持续大约20分钟，当它过期时，它使用刷新令牌调用令牌endpoint以获得新的访问令牌刷新令牌。

我不确定如何处理的一个场景是当我的刷新令牌生命周期已经过去的时候。如果我将刷新令牌生命周期设置为8小时，但我的MVC会话仍然处于活动状态，它将尝试获取新的刷新令牌并失败。

在OpenID connect中间件中，我是否可以处理一些事件来检测它何时无法获取该刷新令牌，我是否可以使用这些事件以某种方式再次强制登录（或至少往返身份服务器/授权endpoint）？

Answer 1

我发现的一个解决方案是将其连接到Cookies中间件中。以下是一般流程：

在每个请求中，使用Cookies中间件事件检查访问令牌。

如果快过期了，就申请一个新的。

替换ClaimSideEntity中的新访问和刷新令牌。

指示Cookies中间件续订会话Cookie，使其包含新令牌。

你可以参考这篇文章，它可能会对你有所帮助： OpenID Connect中ID令牌到期时间的意图是什么？