在Azure中部署身份服务器3刷新令牌问题

Question

我在Azure中有一个Thinktecture的Identity Server v3实例作为WebApp托管。 通常，它可以按预期工作，但是在尝试通过带有refresh_token授予类型的令牌标识/连接/令牌端点使用刷新令牌时，我遇到了一些问题。 我有一个使用授权码流的客户端，这是与与此客户端有关的刷新令牌选项相关的设置：

// refresh token options
AccessTokenType = AccessTokenType.Jwt,
AccessTokenLifetime = 3600,
RefreshTokenUsage = TokenUsage.OneTimeOnly, // Every time generates new refresh token. Not only access token.
RefreshTokenExpiration = TokenExpiration.Sliding,
SlidingRefreshTokenLifetime = 1296000

对于使用过此功能的人来说，很明显，我使用JWT令牌，并且访问令牌在1个小时内有效，此后，无需再次登录Identity Server，我可以使用刷新令牌并获取新的访问和刷新令牌。 。 我的刷新令牌必须有效期为15天（1296000秒）。 实际发生的情况是它没有按预期运行。 由于某种原因，当我决定在上一个REST API（身份服务器的依赖方）调用一个半小时后，会收到invalid_grant响应。

我决定对其进行一点测试，使我的访问令牌在2分钟内过期，而刷新令牌在10分钟内过期。那么，我尝试在访问令牌过期后的第1、2、3 ..分钟拨打电话正常工作。 我真的不想使用1小时访问令牌进行这种测试，所以这就是为什么我决定在这里询问是否有人曾经经历过低谷。

Answer 1

您的访问令牌生存期为1小时， 刷新令牌生存期为15天。

调用API时使用的令牌是访问令牌 。 在我看来，如果在上次刷新访问令牌后90分钟拨打电话，就会收到错误消息。 在这种情况下，在调用API之前，您应该检查访问令牌是否仍然有效，如果无效，则刷新它。

对于您的测试，在堆栈中， JwtSecurityTokenHandler类负责验证令牌。 默认情况下，验证参数允许5分钟的不匹配，以适应系统之间时间的变化。 将TokenValidationParameters.DefaultClockSkew修改为较小的值TokenValidationParameters.DefaultClockSkew您有帮助。