azure - B2C Web 应用程序 session 生命周期

Question

我正在使用 B2C 门户分配以下值。我假设 Web 应用程序 session 生命周期设置将有效设置 Cookie 过期时间。但无论我做什么，它都会在两周后出现。 (今天是 14 号)。

如果我使用 TicketReceived 事件来设置 context.Properties.ExpiresUtc，那么我设置的值将显示在 cookie 中。

如果网络应用程序 session 生命周期不应该设置cookie，那么它有什么用呢？不管怎样，我不知道两周是从哪里来的。

据我所知， token 生命周期中的以下值在返回时设置了 exp 声明。这似乎只适用于 JWT。

有人可以解释一下吗？

TIA

Answer 1

很久以前我也曾为此苦苦挣扎，以下是我的看法:

Web 应用程序 session 超时 用于 B2C 处的 cookie，因此，如果您登录第二个 B2C 安全应用程序，则无需在 B2C 处重新登录。这不是您正在寻找的值(value)。

token 生命周期应复制到您自己的环境中。查看有关 UseTokenLifetime

的一些文档

也可以在这里阅读:

https://github.com/aspnet/Security/issues/147

We believe the default of true is overall the safest: When using ASP.NET Identity, it will replace the cookie with its own cookie that has its own expiration rules When using OIDC is the primary authentication, the value of true is presumably what people want.

还有更多信息: Microsoft.Owin.Security.OpenIdConnect with Azure Active Directory authentication ticket lifetime

代码片段:

 app.UseOpenIdConnectAuthentication(
   new OpenIdConnectAuthenticationOptions
   {
       ....
       UseTokenLifetime = true,
       ....