承载令牌授权

Question

我在Identity Server 3和承载令牌身份验证方面遇到问题。

基本上，我可以使用过期的访问令牌来调用Web API方法，并且Web API会对用户进行身份验证并返回数据。

我已将我的客户端设置为具有360秒的访问令牌生存期，这确实是我检查索赔时的情况。

如何确保无法使用过期的访问令牌调用We​​b API。 我是否需要在IdentityServerBearerTokenAuthenticationOptions进行设置？

谢谢。

Answer 1

当请求到来时，我们要做的第一件事就是检查身份是否已通过身份验证，并且身份验证类型为“承载”。

    private static bool RequestIsAuthenticated(HttpActionContext actionContext)
    {
        return (actionContext.RequestContext.Principal.Identity.AuthenticationType == "Bearer" && actionContext.RequestContext.Principal.Identity.IsAuthenticated);
    }

如果返回false，则返回HttpStatusCode.Unauthorized。