JwtSecurityToken不会在应该过期的时候过期

Question

我目前正在系统中使用JwtSecurityToken类。标识模型。令牌命名空间。我使用以下内容创建令牌：

DateTime expires = DateTime.UtcNow.AddSeconds(10);
JwtSecurityTokenHandler handler = new JwtSecurityTokenHandler();
var genericIdentity = new System.Security.Principal.GenericIdentity(username, "TokenAuth");

ClaimsIdentity identity = new ClaimsIdentity(claims);
string secret = ConfigurationManager.AppSettings["jwtSecret"].ToString();
var securityKey = new     InMemorySymmetricSecurityKey(Encoding.Default.GetBytes(secret));
var signingCreds = new SigningCredentials(securityKey,     SecurityAlgorithms.HmacSha256Signature, SecurityAlgorithms.HmacSha256Signature);
var securityToken = handler.CreateToken(
    issuer: issuer,
    audience: ConfigurationManager.AppSettings["UiUrl"].ToString(),
    signingCredentials: signingCreds,
    subject: identity,
    expires: expires,
    notBefore: DateTime.UtcNow
);
return handler.WriteToken(securityToken); 

出于某种原因，即使过期时间设置为当前时间后10秒，当令牌被验证到大约5分钟时，它实际上不会引发异常。看到这个后，我想可能有5分钟的最低过期时间，所以我将过期时间设置为：

DateTime.UtcNow.AddMinutes(5);

然后，它将在10分钟后过期，但异常消息表示过期时间设置为应该的时间（用户登录后5分钟），当它在异常中显示当前时间时，则为过期时间后5分钟。所以，它似乎知道它应该在什么时候过期，但实际上直到过期时间过后5分钟才抛出异常。然后，由于令牌似乎在我设置的到期时间的基础上增加了5分钟，我将到期时间设置为：

DateTime.UtcNow.AddMinutes(-5).AddSecond(10);

我测试了这个，到目前为止它还没有过期（十多分钟后）。有人能解释一下为什么会这样，我做错了什么吗？此外，如果您看到我提供的代码中的任何其他内容，我们将不胜感激，因为我还不熟悉使用JWTs和这个库。

Answer 1

LifeTimeValidator似乎存在一些问题。只需使用自定义委托重写其逻辑即可。此外，还可以使用JWTBeareOptions类来控制身份验证中间件的行为。例如：

new JwtBearerOptions
{
     AutomaticAuthenticate = true,
     AutomaticChallenge = true,
     TokenValidationParameters = new Microsoft.IdentityModel.Tokens.TokenValidationParameters
     {
           ValidIssuer = _configuration["Tokens:Issuer"],
           ValidAudience = _configuration["Tokens:Audience"],
           ValidateIssuer = true,
           ValidateAudience = true,
           ValidateLifetime = true,
           LifetimeValidator = LifetimeValidator,
           ValidateIssuerSigningKey = true,
           IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Tokens:Key"]))
      }
}

并分配LifetimeValidotor委托，以提供自己的超时验证逻辑：

private bool LifetimeValidator(DateTime? notBefore, DateTime? expires, SecurityToken token, TokenValidationParameters @params)
{
     if (expires != null)
     {
          return expires > DateTime.UtcNow;
     }
     return false;
}

Answer 2

通读@Denis Kucherov的答案后，我发现我可以使用他发布的相同自定义验证器，而无需使用JwtBearerOptions类，这需要我添加一个新库。

此外，由于有两个名称空间包含许多相同的类，我将确保提及所有这些都在使用该系统。识别模型。。。名称空间。（不是Microsoft.IdentityModels…）

以下是我最终使用的代码：

private bool CustomLifetimeValidator(DateTime? notBefore, DateTime? expires, SecurityToken tokenToValidate, TokenValidationParameters @param)
{
    if (expires != null)
    {
        return expires > DateTime.UtcNow;
    }
    return false;
}
private JwtSecurityToken ValidateJwtToken(string tokenString)
{
   string secret = ConfigurationManager.AppSettings["jwtSecret"].ToString();
   var securityKey = new InMemorySymmetricSecurityKey(Encoding.Default.GetBytes(secret));
   JwtSecurityTokenHandler handler = new JwtSecurityTokenHandler();
   TokenValidationParameters validation = new TokenValidationParameters()
   {
       ValidAudience = "MyAudience",
       ValidIssuer = "MyIssuer",
       ValidateIssuer = true,
       ValidateLifetime = true,
       LifetimeValidator = CustomLifetimeValidator,
       RequireExpirationTime = true,
       IssuerSigningKey = securityKey,
       ValidateIssuerSigningKey = true,
   };
   SecurityToken token;
   ClaimsPrincipal principal = handler.ValidateToken(tokenString, validation, out token);
   return (JwtSecurityToken)token;
}

Answer 3

问题与ClockSkew有关。通常，验证库（至少是MS库）会补偿时钟偏移<代码>时钟偏移默认值为5分钟。看到答案了吗

您可以在TokenValidationParameters中更改ClockSkew：

var tokenValidationParameters = new TokenValidationParameters
{
    //...your setting

    // set ClockSkew is zero
    ClockSkew = TimeSpan.Zero
};

app.UseJwtBearerAuthentication(new JwtBearerOptions
{
    AutomaticAuthenticate = true,
    AutomaticChallenge = true,
    TokenValidationParameters = tokenValidationParameters
});

快乐编码！