ASP.NET標識承載令牌。 它堅持不懈？

Question

我通過http://www.asp.net/web-api/overview/security/individual-accounts-in-web-api教程來實現ASP.NET WebApi承載令牌認證。

當我在Azure WebSite上停止/重新啟動/部署后訪問已發布的承載令牌的[Authorize]方法時，它仍然可以訪問它們。 此外，我可以訪問兩個不同的設備（相同身份的不同令牌），仍然可以訪問。

我不知道令牌識別機制的內部深處，但似乎發布的承載令牌不在服務器內存或數據庫中維護。

我的問題可歸納如下......

1. 持票人令牌是否持續包含我的身份並在我重新授權之前確認我（基於上述教程）？
2. 什么是混合和散列來制作持票人令牌的信息？ 只有我的relm，身份和時間戳？ 或服務器密鑰（我知道以前的ASP.NET成員資格在注冊表中使用服務器密鑰）？
3. 如果我作為WebRoles部署到多個服務器怎么辦？ 他們是否仍然承認已發布的令牌？
4. 每個身份是否有最大數量的可識別令牌？

Answer 1

1. 承載令牌不會對您進行確認，oauth令牌提供程序端點會使用承載令牌向您確認。 令牌將持續存在並識別您的到期（默認為10分鍾）。 在此示例應用程序中，它設置為14天，請參閱AccessTokenExpireTimeSpan = TimeSpan.FromDays(14)
2. 它還可能包括一些請求本身。
3. 示例應用程序為OAuth令牌提供程序使用OWIN中間件實現，請參閱app.UseOAuthBearerTokens(OAuthOptions); 這是基於每個服務器，並且還有其他令牌提供程序支持服務器的多個實例，例如facebook，google，microsoft account，twitter，或者您可以自己推送。
4. 它取決於令牌提供程序，但大多數情況下，您可以擁有多個具有相同標識的會話。