IdentityServer4 refresh_token吊销

Question

我有一个SPA应用程序，该应用程序使用IdentityServer4 ROPC流进行身份验证，并具有来自本示例https://github.com/robisim74/AngularSPAWebAPI的访问和刷新令牌。 每隔15分钟，我会更新refresh_token以获取一对新的刷新和访问令牌。

但是，如果我重新启动IdentityServer4应用程序，则在重新启动之前发出的旧的refresh_tokens不再有效。 如何解决？ 我怀疑我应该实现一些接口来存储发出的刷新令牌吗？

Answer 1

您需要使用IPersistedGrantStore合同来实施持久授权。 这会将诸如refresh_tokens之类的内容存储到定义的持久性中。 默认情况下，IdentityServer 4将使用InMemory持久性存储，这就是为什么在重新启动应用程序时会继续丢失refresh_token引用的原因。

如果要使用refresh_tokens，则在生产环境中为此保留一个持久层几乎是强制性的。