使用 MSAL 访问令牌/刷新令牌

Question

我比较熟悉 OAuth2 以及 AccessToken 和 RefreshToken 的概念。

看起来 MSAL 在使用 ClientApplicationBase.AcquireTokenSilentAsync() 时为我们做了一些工作。

我不清楚它是否会始终检查当前 AccessToken 的过期时间并在方法调用时自动刷新它（使用 RefreshToken）。

无论如何，对于我们应该多久调用一次 AcquireTokenSilentAsync() 是否有“最佳实践”？ 我们是否应该自己跟踪到期时间并调用此方法来更新我们的承载身份验证标头？ 我们应该在每个请求上调用 AcquireTokenSilentAsync() 吗？ （疑）

我看不到使用 DelegateAuthenticationProvider 的 GraphServiceClient（我知道的切线主题）将如何做任何有用的 WRT 刷新。 当令牌即将到期时，我们是否需要扩展该类并执行我们自己的刷新？ 我觉得这会/应该已经在 SDK 中了。

感谢您提供任何提示。 -AJ

Answer 1

2020 年 11 月更新

此答案最初是为 MSAL 客户端的 V2 编写的。 此后发布了 V3，其工作方式可能与 V2 不同。

原答案

我不清楚它是否会始终检查当前 AccessToken 的过期时间并在方法调用时自动刷新它（使用 RefreshToken）。

如果我正确理解此答案，则在提供offline_access范围时会自动提供刷新令牌

...您已经请求了offline_access范围，因此您的应用程序会收到一个刷新令牌。

AcquireTokenSilentAsync的描述暗示，当提供刷新令牌时，它将检查令牌上的过期日期，如果它已过期或接近过期，则会获取一个新令牌。

如果访问令牌已过期或接近过期（在 5 分钟窗口内），则使用刷新令牌（如果可用）通过网络调用获取新的访问令牌。

它将重复此行为，直到刷新令牌过期。 您也可以选择通过强制通过刷新令牌访问刷新令牌使用的forceRefresh的参数AcquireTokenSilentAsync

最后，我将在 SO上引用这个答案，因为它提供了关于 MSAL 和令牌的很好的见解

只是为了澄清一下，MSAL 实际上并不发布令牌或决定令牌过期，而是从 Azure AD STS 中获取获取令牌。

调用 AcquireTokenSilentAsync 时，MSAL 将在到期后自动刷新您的访问令牌。 .... 现在的默认令牌过期时间是：

访问令牌：1 小时

刷新令牌：90 天，14 天非活动滑动窗口

（2017 年 6 月 13 日）

无论如何，对于我们应该多久调用一次 AcquireTokenSilentAsync() 是否有“最佳实践”？ 我们是否应该自己跟踪到期时间并调用此方法来更新我们的承载身份验证标头？ 我们应该在每个请求上调用 AcquireTokenSilentAsync() 吗？

该文档还列出了用于调用AcquireTokenSilentAsync的“推荐调用模式”。 该文件还提到

对于公共客户端和机密客户端应用程序，MSAL.NET 维护一个令牌缓存（在机密客户端应用程序的情况下为两个缓存），应用程序应先尝试从缓存中获取令牌，然后再采取任何其他方式。

根据我看到的示例，包括文档中推荐的调用模式，我认为您可以简单地调用AcquireTokenSilentAsync并捕获MsalUiRequiredException作为令牌已过期且用户必须再次登录的指示。

我看不到使用 DelegateAuthenticationProvider 的 GraphServiceClient（我知道的切线主题）将如何做任何有用的 WRT 刷新。 当令牌即将到期时，我们是否需要扩展该类并执行我们自己的刷新？ 我觉得这会/应该已经在 SDK 中了。

如果我正确理解了 DelegateAuthenticationProvider，它所做的就是在我们将它传递给 Graph 之前修改 requestMessage。 我们要做的就是为我们的访问令牌提供请求的授权标头。 我们已经知道，当我们获取访问令牌时，它是有效的，因此我们可以添加它。

        new DelegateAuthenticationProvider(async (requestMessage) =>
        {
            ConfidentialClientApplication cca = new ConfidentialClientApplication(_ClientId, _Authority, _RedirectUri, new ClientCredential(_ClientSecret), _UserTokenSessionCache.GetTokenCache(identifier, httpContext), _ApplicationTokenCache.GetTokenCache());
            AuthenticationResult result = await cca.AcquireTokenSilentAsync();
            requestMessage.Headers.Add("Authorization", result.CreateAuthorizationHeader());
            //OR
            requestMessage.Headers.Authorization = new AuthenticationHeaderValue("bearer", result.AccessToken);
        });

（两种设置标题的方式没有区别）

我一直在这条路上，这对我有用。 我强烈建议阅读他们的文档，因为它确实对如何实现 MSAL.Net 提供了很好的见解。

我还没有时间来处理令牌持续时间。 如果没有提供刷新令牌，则行为也不行（如果可能的话）

我希望这有帮助！

Answer 2

提到上面遗漏的一件事，引用我对使用 Azure AD V2.0 (MSAL) 和 Asp .Net Core 2.0 获取刷新令牌的回答

• 对于上下文， OAuth 2.0 代码授权流程提到了以下步骤：
  • 授权，返回 auth_code
  • 使用 auth_code，获取 access_token（通常有效期为 1 小时）和 refresh_token
  • access_token 用于获取相关资源的访问权限
  • access_token 过期后，refresh_token 用于获取新的 access_token
• MSAL.NET 通过 TokenCache 抽象了 refresh_token 的这个概念。
  • 有一个选项可以序列化 TokenCache。 请参阅MSAL.NET 中的令牌缓存序列化。 这是如何保留登录信息黑白桌面应用程序会话，并避免那些登录窗口。
  • AcquireTokenSilentAsync 是使用 refresh_token 获取新的 access_token 的过程，但是，这是在内部完成的。 有关更多详细信息和其他访问模式，请参阅使用缓存令牌的 AcquireTokenSilentAsync 。

希望这能澄清为什么 TokenCache 是 MSAL.NET 中的“新”refresh_token，而 TokenCache 是您需要序列化和保存的。 有像Microsoft.Identity.Client.Extensions.Msal这样的库可以帮助实现这一点。

@AlWeber/ @Raziel，以下模式适用于 PublicClientApplication：

• 在启动时，要反序列化并加载 TokenCache（具有 refresh_token），请尝试静默获取 access_token。
• 如果失败，请使用交互式 UI 获取令牌。
• 保存并重新使用具有 AccessToken 和 ExpiresOn 的 AuthenticationResult。 一旦接近 ExpiresOn 属性（就个人而言，我在到期前 30 分钟设置），重做以静默方式获取 access_token（如果您是 API 用户，这有点贵，因此会缓存结果）。

我们应该多久调用一次 AcquireTokenSilentAsync() 是否有“最佳实践”？ 我们是否应该自己跟踪到期时间并调用此方法来更新我们的承载身份验证标头？ 我们应该在每个请求上调用 AcquireTokenSilentAsync() 吗？ （疑）

我不认为这是一个好主意。 如前所述，这个电话仍然有点贵。 另一种方法是将 AuthenticationResult 存储在内存中，重新使用它，然后转到仅接近 ExpiresOn 属性的静默获取工作流。