c# - 使用 Identity Server 4 在包含 View 和资源的 MVC 核心应用程序中刷新访问 token 的最佳实践

Question

我一直在阅读(和观看视频)有关在使用包含大量 ajax 调用的 MVC 核心应用程序时如何最好地实现访问和刷新 token 的内容。我想我做对了，但只是想知道是否有更好的方法。我将编辑这篇文章，以便它可以作为任何寻找此信息的人的引用。

我的设置:我有一个包含大量 JavaScript 的 MVC Core 应用程序。 JavaScript 正在使用 ajax 调用来检索 json 或调用操作。

因为我不希望我的用户能够使用 cookie 身份验证访问我的 api，所以我使用 app.Map 将我的应用程序分成两部分。一种是用户可以使用身份 token 访问 View ，另一种是需要访问 token 。我还添加了一个 cookie 来保存我需要刷新访问 token 的时间。

Startup.cs(我去掉了不重要的部分)

  app.UseCookieAuthentication(new CookieAuthenticationOptions
  {
    AuthenticationScheme = "Cookies",
    AutomaticAuthenticate = true,
    ExpireTimeSpan = TimeSpan.FromMinutes(60)
  });

  JwtSecurityTokenHandler.DefaultInboundClaimTypeMap.Clear();

  var oidcOptions = new OpenIdConnectOptions
  {
    AuthenticationScheme = "oidc",
    SignInScheme = "Cookies",

    Authority = LoginServerUrl,
    RequireHttpsMetadata = false,
    ClientId = "MyApp",
    ClientSecret = "*****",
    ResponseType = "code id_token",
    SaveTokens = true,
    Events = new OpenIdConnectEvents()
    {
      OnTicketReceived = async notification =>
      {
        notification.Response.Cookies.Append("NextAccessTokenRefresh", DateTime.Now.AddMinutes(30).ToString());
        notification.Response.Cookies.Delete("AccessToken");
      },
    },

    TokenValidationParameters = new Microsoft.IdentityModel.Tokens.TokenValidationParameters
    {
      NameClaimType = JwtClaimTypes.Name,
      RoleClaimType = JwtClaimTypes.Role,
    },
  };

  oidcOptions.Scope.Clear();
  oidcOptions.Scope.Add("openid");
  oidcOptions.Scope.Add("roles");
  oidcOptions.Scope.Add("offline_access");

  app.UseOpenIdConnectAuthentication(oidcOptions);

  app.Map("/api", (context) =>
  {
    var bearerTokenOptions = new IdentityServerAuthenticationOptions
    {
      AuthenticationScheme = "Bearer",
      Authority = LoginServerUrl,,
      RequireHttpsMetadata = false,
      ScopeName = "MyApi",
      AutomaticAuthenticate = true
    };

    context.UseIdentityServerAuthentication(bearerTokenOptions);
    context.UseMvcWithDefaultRoute();
  });

所有对 Controller 操作的 ajax 调用都使用以下 url/api/[Controller]/[Action] 完成。

我不希望我的 api 可以使用身份 token 访问，因此我还向 Controller 操作添加了 Authorize(ActiveAuthenticationSchemes = "Bearer") 属性。所以现在我的 Controller Action 被 javascript 调用看起来像这样:

[HttpPost, Authorize(ActiveAuthenticationSchemes = "Bearer")]
public async Task<JsonResult> DoStuff()
{
}

当 javascript 需要访问 api 资源时， Controller 首先检索访问 token 并使用自定义 javascript init 方法将其注入(inject)到 javascript 中。

此 C# 方法负责刷新和检索访问 cookie。

public async Task<string> GetAccessTokenAsync()
{
  var accessToken = _contextAccessor.HttpContext.Request.Cookies["AccessToken"];
  var nextAccessTokenRefresh = _contextAccessor.HttpContext.Request.Cookies["NextAccessTokenRefresh"];
  if (string.IsNullOrEmpty(nextAccessTokenRefresh) || string.IsNullOrEmpty(accessToken) || DateTime.Parse(nextAccessTokenRefresh) <= DateTime.Now)
  {
    var refreshToken = await _contextAccessor.HttpContext.Authentication.GetTokenAsync("refresh_token");
    var tokenClient = new TokenClient(_appSettings.LoginServerUrl + "/connect/token", _appSettings.LoginClientId, _appSettings.LoginClientSecret);
    var response = await tokenClient.RequestRefreshTokenAsync(refreshToken);
    accessToken = response.AccessToken;

    //Set cookies for next refresh
    _contextAccessor.HttpContext.Response.Cookies.Append("NextAccessTokenRefresh", DateTime.Now.AddMinutes(30).ToString());
    _contextAccessor.HttpContext.Response.Cookies.Append("AccessToken", response.AccessToken);
  }

  return accessToken;
}

在我所有的 $.ajax 上我都添加了以下参数:

beforeSend: function(xhr, settings) { xhr.setRequestHeader('Authorization','Bearer ' + accessToken); }

就是这样。默认访问 token 过期时间为一小时。我总是在一半时间后刷新它。

现在回答我的问题:

1. 我能以任何方式改进我的代码吗？
2. 您是否发现这样做有任何与安全相关的风险？
3. 我可以在 OnTicketReceived 中检索访问 token 吗？

Answer 1

Can I improve my code in any way ?

您的 Startup.cs 应该是这样的(因为 Map 仅适用于“/api”路径。有关更多信息，请参阅 https://docs.asp.net/en/latest/fundamentals/middleware.html#run-map-and-use ):

app.MapWhen(context => !context.Request.Path.Value.StartsWith("/api"), builder=>
{
    app.UseCookieAuthentication(options);
    ...
    app.UseOpenIdConnectAuthentication(oidcOptions);
    ....
});

app.MapWhen(context => context.Request.Path.Value.StartsWith("/api"), builder=>
{
    var bearerTokenOptions = new IdentityServerAuthenticationOptions
    {
      AuthenticationScheme = "Bearer",
      Authority = LoginServerUrl,,
      RequireHttpsMetadata = false,
      ScopeName = "MyApi",
      AutomaticAuthenticate = true
    };

    context.UseIdentityServerAuthentication(bearerTokenOptions);
    context.UseMvcWithDefaultRoute();
});

第二点，您的 cookie 过期时间为 60 分钟，在这种情况下，您的刷新 token 的生命周期为 60 分钟。我认为这可能是个问题。

Do you see any security related risks doing it this way ?

我没有足够的经验来使用刷新 token ，所以我不能说您的实现是否安全。但我认为刷新 token (为您的实现)增加了复杂性也增加了安全风险(这只是我的意见，我不是安全专家)。我只会使用具有隐式流的长期访问 token (因为简单)。

Can I retrieve the access token in the OnTicketReceived ?

是的，你可以:

OnTicketReceived = ctx =>
{
     var token = ctx.Ticket.Properties.GetTokenValue("access_token");
     ...
}