使用Auth0的应用程序在刷新时登录页面

Question

我用Javascript编写的简单应用程序使用服务（在Auth0上写为包装器）进行身份验证。 成功登录后，如果我刷新主页，应用程序将再次进入登录页面（即使我已将访问令牌存储在cookie中）

我还尝试将访问令牌存储在浏览器会话存储中。

当我的index.html启动时，我正在检查我的应用程序URL是否包含访问令牌。 如果没有访问令牌，我会将其重定向到登录页面。

if (((window.location.hash).indexOf('access_token') < 0)) {
            location.replace(redirectUrl);
} 

成功登录后，由于url中包含访问令牌，因此应用程序可以正常运行。 但是下次刷新主页时，它在URL中没有访问令牌。

根据我的理解，因为我在cookie中有访问令牌，所以只要令牌有效，它就不应该再次要求我登录。

1. 它仍然要求登录。 我应该使用什么策略来持久化令牌？
2. 注销时，我将cookie设置为过期。 除此之外有没有理想的登出方式？

Answer 1

这通常可以通过HAR文件捕获进行故障排除，以跟踪认证流程中留下的路径。 但是，由于我们在这个时刻没有这个选项，所以有几件事要看。

• 您是否在身份验证方案中使用了Dev键？
• 到期时间
• 存储访问令牌在哪里？
• https://auth0.com/docs/tokens/overview-access-tokens

Answer 2

目前，您的实施有点不完整。

根据我的理解，因为我在cookie中有访问令牌，所以只要令牌有效，它就不应该再次要求我登录。

将令牌保存在cookie存储和本地存储中与用户身份验证状态没有任何关系。 它只是一种持久化令牌和读取数据的方式。 在每个导航中，您需要读取令牌并从令牌中提取信息以确保用户已通过身份验证。

你应该遵循的架构：

• 如果应用程序中没有有效令牌，则将用户重定向到/授权端点。
• auth0完成用户验证后，用户将被重定向到列入白名单的回调URL。 确保此URL是唯一的，并从URL片段中保存令牌。 在客户端完成令牌验证非常重要。 否则，这将是一个重大的安全问题。 https://auth0.com/docs/tokens/guides/id-token/validate-id-token
• 将用户重定向到安全URL。

我强烈建议使用auth0 SDK，因为它可以缓解所有安全问题，包括使用RS256算法进行令牌签名验证。 https://auth0.com/docs/quickstart/spa/vanillajs/01-login

您可能会发现folloiwng线程有用为什么我的auth0令牌在刷新页面或点击我的Angular应用程序中的链接时会过期？