使用 Identity Server 4 在包含视图和资源的 MVC 核心应用程序中刷新访问令牌的最佳实践

Question

我一直在阅读（和观看视频）有关在使用包含大量 ajax 调用的 MVC 核心应用程序时如何最好地实现访问和刷新令牌的内容。我想我做对了，但只是想知道是否有更好的方法。我将编辑此 post 以便它可以作为任何寻找此信息的人的参考。

我的设置：我有一个包含很多 JavaScript 的 MVC 核心应用程序。 JavaScript 正在使用 ajax 调用来检索 json 或调用操作。

因为我不希望我的用户能够使用 cookie 身份验证访问我的 api，我使用 app.Map 将我的应用程序分成两部分。一种是用户可以使用身份令牌访问视图，另一种是需要访问令牌。我还添加了一个 cookie 来保存我需要刷新访问令牌的时间。

Startup.cs（我去掉了不重要的部分）

  app.UseCookieAuthentication(new CookieAuthenticationOptions
  {
    AuthenticationScheme = "Cookies",
    AutomaticAuthenticate = true,
    ExpireTimeSpan = TimeSpan.FromMinutes(60)
  });

  JwtSecurityTokenHandler.DefaultInboundClaimTypeMap.Clear();

  var oidcOptions = new OpenIdConnectOptions
  {
    AuthenticationScheme = "oidc",
    SignInScheme = "Cookies",

    Authority = LoginServerUrl,
    RequireHttpsMetadata = false,
    ClientId = "MyApp",
    ClientSecret = "*****",
    ResponseType = "code id_token",
    SaveTokens = true,
    Events = new OpenIdConnectEvents()
    {
      OnTicketReceived = async notification =>
      {
        notification.Response.Cookies.Append("NextAccessTokenRefresh", DateTime.Now.AddMinutes(30).ToString());
        notification.Response.Cookies.Delete("AccessToken");
      },
    },

    TokenValidationParameters = new Microsoft.IdentityModel.Tokens.TokenValidationParameters
    {
      NameClaimType = JwtClaimTypes.Name,
      RoleClaimType = JwtClaimTypes.Role,
    },
  };

  oidcOptions.Scope.Clear();
  oidcOptions.Scope.Add("openid");
  oidcOptions.Scope.Add("roles");
  oidcOptions.Scope.Add("offline_access");

  app.UseOpenIdConnectAuthentication(oidcOptions);

  app.Map("/api", (context) =>
  {
    var bearerTokenOptions = new IdentityServerAuthenticationOptions
    {
      AuthenticationScheme = "Bearer",
      Authority = LoginServerUrl,,
      RequireHttpsMetadata = false,
      ScopeName = "MyApi",
      AutomaticAuthenticate = true
    };

    context.UseIdentityServerAuthentication(bearerTokenOptions);
    context.UseMvcWithDefaultRoute();
  });

所有 ajax 对控制器操作的调用都是使用以下 url /api/[Controller]/[Action] 完成的。

我不希望我的 api 可以使用身份令牌访问，因此我还向控制器操作添加了 Authorize(ActiveAuthenticationSchemes = "Bearer") 属性。所以现在被 javascript 调用的我的控制器操作看起来像这样：

[HttpPost, Authorize(ActiveAuthenticationSchemes = "Bearer")]
public async Task<JsonResult> DoStuff()
{
}

当 javascript 需要访问 api 资源时，控制器首先检索访问令牌并使用自定义 javascript 初始化方法将其注入 javascript .

此 C# 方法负责刷新和检索访问 cookie。

public async Task<string> GetAccessTokenAsync()
{
  var accessToken = _contextAccessor.HttpContext.Request.Cookies["AccessToken"];
  var nextAccessTokenRefresh = _contextAccessor.HttpContext.Request.Cookies["NextAccessTokenRefresh"];
  if (string.IsNullOrEmpty(nextAccessTokenRefresh) || string.IsNullOrEmpty(accessToken) || DateTime.Parse(nextAccessTokenRefresh) <= DateTime.Now)
  {
    var refreshToken = await _contextAccessor.HttpContext.Authentication.GetTokenAsync("refresh_token");
    var tokenClient = new TokenClient(_appSettings.LoginServerUrl + "/connect/token", _appSettings.LoginClientId, _appSettings.LoginClientSecret);
    var response = await tokenClient.RequestRefreshTokenAsync(refreshToken);
    accessToken = response.AccessToken;

    //Set cookies for next refresh
    _contextAccessor.HttpContext.Response.Cookies.Append("NextAccessTokenRefresh", DateTime.Now.AddMinutes(30).ToString());
    _contextAccessor.HttpContext.Response.Cookies.Append("AccessToken", response.AccessToken);
  }

  return accessToken;
}

在我所有的 $.ajax 上，我添加了以下参数：

beforeSend: function(xhr, settings) { xhr.setRequestHeader('Authorization','Bearer ' + accessToken); }

就是这样。默认访问令牌过期时间为一小时。我总是在一半时间后刷新它。

现在回答我的问题：

我能以任何方式改进我的代码吗？
您是否看到这样做有任何与安全相关的风险？
我可以在 OnTicketReceived 中检索访问令牌吗？

Answer 1

Can I improve my code in any way ?

您的 Startup.cs 应该是这样的（因为 Map 仅适用于 '/api' 路径。有关更多信息，请参阅 https://docs.asp.net/en/latest/fundamentals/middleware.html#run-map-and-use）：

app.MapWhen(context => !context.Request.Path.Value.StartsWith("/api"), builder=>
{
    app.UseCookieAuthentication(options);
    ...
    app.UseOpenIdConnectAuthentication(oidcOptions);
    ....
});

app.MapWhen(context => context.Request.Path.Value.StartsWith("/api"), builder=>
{
    var bearerTokenOptions = new IdentityServerAuthenticationOptions
    {
      AuthenticationScheme = "Bearer",
      Authority = LoginServerUrl,,
      RequireHttpsMetadata = false,
      ScopeName = "MyApi",
      AutomaticAuthenticate = true
    };

    context.UseIdentityServerAuthentication(bearerTokenOptions);
    context.UseMvcWithDefaultRoute();
});

第二点，您的 cookie 过期时间为 60 分钟，在这种情况下，您的刷新令牌的生命周期为 60 分钟。我觉得这可能是个问题。

Do you see any security related risks doing it this way ?

我没有足够的使用刷新令牌的经验，所以我不能说你的实施是否安全。但我认为刷新令牌（为您的实施）增加了复杂性也增加了安全风险（这只是我的意见，我不是安全专家）。我只会使用具有隐式流的长期访问令牌（因为简单）。

Can I retrieve the access token in the OnTicketReceived ?

是的，你可以：

OnTicketReceived = ctx =>
{
     var token = ctx.Ticket.Properties.GetTokenValue("access_token");
     ...
}

使用 Identity Server 4 在包含视图和资源的 MVC 核心应用程序中刷新访问令牌的最佳实践

Best practices refreshing access tokens in a MVC Core App containing both views and resources, using Identity Server 4

c#

asp.net-core

identityserver4