Azure AD B2C刷新令牌已吊销403

Question

大家早上好，

我在Azure中设置了应用服务，并通过Azure ADB2C添加了身份验证。到目前为止一切正常。不过，1小时后，当令牌过期时，我尝试刷新它，但收到错误消息，即刷新令牌已被撤销。这里出了什么问题？我已经设置了后端，如本文所述：登录时，我会像这样传递附加参数：

user = await Manager.CurrentClient.LoginAsync(currentContext,MobileServiceAuthenticationProvider.WindowsAzureActiveDirectory,new Dictionary<string, string>() { { "response_type", "code id_token" } });

这是我的刷新代码：

user = await Manager.CurrentClient.RefreshUserAsync();

这就是我遇到的错误

{Microsoft.WindowsAzure.MobileServices.MobileServiceInvalidOperationException：刷新失败，出现403禁止的错误。刷新令牌已吊销或过期---

我错过什么了吗？非常感谢。

编辑3：此处是来自Web服务器的给定请求的应用程序日志：

2017-01-18T15:08:33 PID[6344]详细接收请求：GEThttps://api.near.lu/.auth/refresh2017-01-18T15:08:33 PID[6344]详细JWT验证成功。主题：'sid： 453a1ad2710466bc983240e888d8b91'，发行者：'https://api.near.lu/'。2017-01-18T15:08:33 PID[6344]警告sid： 453a1ad2710466bc9873240e888d8b91（SID： ac22f7309036f0c07a54b1299b9601ef）发出的刷新请求失败，因为在令牌存储中没有找到刷新令牌。2017-01-18T15:08:33 PID[6344]信息发送响应：403.80禁止2017-01-18T15:08:34 PID[6344]详细接收请求：GEThttps://api.near.lu/.auth/login/aad?response_type=codeid_token2017-01-18T15:08:34 PID[6344]详细从https://login.microsoftonline.com/nearauth.onmicrosoft.com/v2.0/.well-known/openid-configuration?p=B2C_1_Default下载OpenID配置2017-01-18T15:08:36 PID[6344]详细从https://login.microsoftonline.com/nearauth.onmicrosoft.com/discovery/v2.0/keys?p=b2c_1_default下载OpenID颁发者密钥2017-01-18T15:08:37 PID[6344]信息重定向：https://login.microsoftonline.com/nearauth.onmicrosoft.com/oauth2/v2.0/authorize?response_type=codeid_token

编辑4：这是成功登录的日志：

2017-01-18T19:10:14 PID[6344]详细接收请求：GEThttps://api.near.lu/.auth/login/aad?response_type=codeid_token2017-01-18T19:10:14 PID[6344]信息重定向：https://login.microsoftonline.com/nearauth.onmicrosoft.com/oauth2/v2.0/authorize?response_type=codeid_token

这是登录后尝试立即刷新时得到的错误日志：

2017-01-23T10:55:06 PID【6344】详细接收请求：POSThttps://api.near.lu/.auth/refresh2017-01-23T10:55:06 PID【6344】详细JWT验证成功。主题：“sid:ed01ed7507f147976aa1704783267861”，颁发者：'https://api.near.lu/“.2017-01-23T10:55:06 PID[6344]警告sid:ed01ed7507f147976aa1704783267861（sid:9a6c2ee324a092937c5e2f953803e662）发出的刷新请求失败，因为在令牌存储中找不到刷新令牌。2017-01-23T10:55:06 PID【6344】信息发送响应：403.80禁止

这很奇怪，从上图可以看出，令牌存储已启用。。。

Answer 1

要使用刷新用户，我们必须将刷新令牌存储到应用服务令牌存储。

您可以使用以下请求检查是否有刷新令牌：

Get:https://{yourMoibleAppName}.azurewebsites.net/.auth/me
X-ZUMO-AUTH: {accessToken}

您可以从用户处获得的访问令牌。MobileServiceAuthenticationToken。

如果没有返回刷新令牌，您可以检查是否满足以下要求：

>

令牌存储已启用

请求的response\u类型包含代码

开发人员不会吊销access\u令牌、refresh\u令牌、用户权限

所有设置都很好，但是应用程序仍然出现403错误，我们应该提示用户再次登录（请参阅在应用程序服务移动应用程序中刷新用户登录）。

为了避免误解，当您指定使用Azure AD B2C租户时，您介意分享您保护移动服务的详细步骤吗？

Answer 2

问题可能是您当前的应用服务身份验证/授权设置未配置为支持令牌刷新。确认这一点的简单方法是启用应用程序日志记录，并在刷新操作失败时查看应用程序日志流中的警告消息。有关应用程序日志记录的更多详细信息，请参见：https://docs.microsoft.com/en-us/azure/app-service-web/web-sites-enable-diagnostic-log

有关如何更新身份验证/授权设置以支持令牌刷新的详细信息，请参阅以下博文（我写的）：https://cgillum.tech/2016/08/10/app-service-auth-and-azure-ad-b2c-part-2/#refresh.简短的版本是您需要：

1. 在B2C应用程序注册中创建应用程序密钥，并在门户中AAD的身份验证/授权“高级”设置中将其设置为客户端密码
2. 登录时请求offline\u访问范围。这可确保用户登录时从AAD B2C获得刷新令牌

您的登录代码应如下所示：

user = await Manager.CurrentClient.LoginAsync(
    currentContext,
    MobileServiceAuthenticationProvider.WindowsAzureActiveDirectory,
    new Dictionary<string, string>() { { "scope", "openid offline_access" } });