确定无记名令牌是否已过期或刚刚授权

Question

我的angular应用程序使用了系列文章中概述的承载令牌http://bitoftech.net/2014/06/01/token-based-authentication-asp-net-web-api-2-owin-asp-net-identity/.我遵循分叉示例，在访问令牌过期时（通过401 http代码）无缝刷新令牌。

我的问题是，如何根据确定的角色来确定承载令牌是否过期或只是未经授权？

例如，我的web api方法具有属性[Authorize（Roles=“Admin”）]。当我调用它时，我返回401错误，这是意料之中的。然而，当我的访问令牌过期并进行另一个web api方法调用时，它也会返回401错误。这是我的拦截器中的responseError处理程序：

        responseError: function (rejection) {
            var deferred = q.defer();
            if (rejection.status === 401) {
                var authService = $injector.get('authService');
                authService.refreshToken().then(function (response) {
                    _retryHttpRequest(rejection.config, deferred);
                }, function () {
                    authService.logOut();
                    $location.path('/dashboard');
                    deferred.reject(rejection);
                });
            } else {
                deferred.reject(rejection);
            }
            return deferred.promise;
        }

我在玩不同的东西，但基本上，我想刷新我的令牌，并在访问令牌过期时重新发送我的请求；但是，如果由于指定的角色，令牌确实是被拒绝的请求，我不想刷新令牌。

有什么想法吗？

Answer 1

正如我在回答科里·席尔瓦的评论时所指出的那样，对于身份验证和授权，Web API Authorize属性将始终返回401 unauthorized。

请参阅以下文章和线程：

http://leastprivilege.com/2014/10/02/401-vs-403/

为什么AuthorizeAttribute重定向到登录页面以进行身份验证和授权失败？

看起来有两种选择：

>

当我将从授权服务器检索到的令牌存储在localStorage中时，我还存储令牌的过期时间。在interceptor responseError函数中，我将存储的令牌过期时间与当前日期时间进行比较。如果确定已过期，请刷新令牌并重新发送请求。

responseError: function (rejection) {
    var deferred = q.defer();

    if (rejection.status === 401) {
        var tokenExpired = false;
        var authData = localStorage.get('authorizationData');
        if (authData) {
            tokenExpired = moment().isAfter(authData.expiration);
        }

        if (tokenExpired) {
            var authService = auth;//$injector.get('authService');
            authService.refreshToken().then(function (response) {
                _retryHttpRequest(rejection.config, deferred);
            }, function () {
                authService.logOut();
                $state.go('error');
                deferred.reject(rejection);
            });
        }
        else {
            $state.go('error');
            deferred.reject(rejection);
        }
    } else {
        $state.go('error');
        deferred.reject(rejection);
    }
    return deferred.promise;
}

在上面提到的stackoverflow线程中使用接受的答案，并创建自己的AuthorizeAttribute来确定令牌过期与未授权访问。

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method, Inherited = true, AllowMultiple = true)]
public class AuthorizeAttribute : System.Web.Http.AuthorizeAttribute
{
    protected override void HandleUnauthorizedRequest(HttpActionContext actionContext)
    {
        if (actionContext.RequestContext.Principal.Identity.IsAuthenticated)
        {
            actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Forbidden);
        }
        else
        {
            base.HandleUnauthorizedRequest(actionContext);
        }
    }
}

我想我将使用选项2，以便客户端更清楚地了解错误代码。