Безопасности долг - как реализовать OAuth2, которые токенов

просто осуществили мою службу долг с носителем (так называемый маркер доступа в следующий) и обновить ключи. Мое понимание этого заключается в том, что вы можете использовать разные потоки. Таким образом, это зависит от потока, который вы хотите использовать, как вы устанавливаете время истечения access_token и refresh_token.

я опишу два течетA и B в follwing (я предлагаю, что вы хотите иметь это поток B):

A) действия время access_token и refresh_token такое же, как и по умолчанию 1200 секунд или 20 минут. Этот поток требует, чтобы ваш клиент сначала отправил client_id и client_secret с данными входа, чтобы получить access_token, refresh_token и expiration_time. С помощью refresh_token теперь можно получить новый access_token в течение 20 минут (или независимо от того, что вы установили AccessTokenExpireTimeSpan в OAuthAuthorizationServerOptions). По той причине, что время истечения access_token и refresh_token то же самое, ваш клиент несет ответственность, чтобы получить новый access_token до истечения срока действия! Например, ваш клиент может отправить вызов refresh POST на конечную точку маркера с телом (Примечание: Вы должны использовать https в производстве)

grant_type=refresh_token&client_id=xxxxxx&refresh_token=xxxxxxxx-xxxx-xxxx-xxxx-xxxxx

чтобы получить новый токен, например, через 19 минут, чтобы предотвратить истечение срока действия токенов.

B) в этом потоке вы хотите иметь краткосрочный срок действия для вашего access_token и долгосрочный срок действия для вашего refresh_token. Предположим, что для целей тестирования вы установили access_token истекает через 10 секунд (AccessTokenExpireTimeSpan = TimeSpan.FromSeconds(10)) и refresh_token до 5 минут. Теперь дело доходит до интересной части, устанавливающей время истечения refresh_token: Вы делаете это в своей функции createAsync в классе SimpleRefreshTokenProvider следующим образом:

var guid = Guid.NewGuid().ToString();


        //copy properties and set the desired lifetime of refresh token
        var refreshTokenProperties = new AuthenticationProperties(context.Ticket.Properties.Dictionary)
        {
            IssuedUtc = context.Ticket.Properties.IssuedUtc,
            ExpiresUtc = DateTime.UtcNow.AddMinutes(5) //SET DATETIME to 5 Minutes
            //ExpiresUtc = DateTime.UtcNow.AddMonths(3) 
        };
        /*CREATE A NEW TICKET WITH EXPIRATION TIME OF 5 MINUTES 
         *INCLUDING THE VALUES OF THE CONTEXT TICKET: SO ALL WE 
         *DO HERE IS TO ADD THE PROPERTIES IssuedUtc and 
         *ExpiredUtc to the TICKET*/
        var refreshTokenTicket = new AuthenticationTicket(context.Ticket.Identity, refreshTokenProperties);

        //saving the new refreshTokenTicket to a local var of Type ConcurrentDictionary<string,AuthenticationTicket>
        // consider storing only the hash of the handle
        RefreshTokens.TryAdd(guid, refreshTokenTicket);            
        context.SetToken(guid);

теперь ваш клиент может отправить почтовый вызов с refresh_token на конечную точку маркера, когда access_token истек. Часть тела может выглядеть так: grant_type=refresh_token&client_id=xxxxxx&refresh_token=xxxxxxxx-xxxx-xxxx-xxxx-xx

важно то, что вы можете использовать этот код не только в своей функции CreateAsync, но и в своей функции Create. Поэтому вы должны рассмотреть возможность использования своей собственной функции (например, createtokeninternal) для приведенного выше кода. здесь вы можете найти реализации различных потоков, включая refresh_token flow(но без установки времени истечения маркер обновления)

вот один пример реализации IAuthenticationTokenProvider на github (С установкой времени истечения refresh_token)

мне жаль, что я не могу помочь с дополнительными материалами, чем спецификации OAuth и документация Microsoft API. Я бы разместил ссылки здесь, но моя репутация не позволяет мне размещать более 2 ссылок....

Я надеюсь, что это может помочь некоторым другим сэкономить время при попытке реализовать OAuth2.0 с временем истечения refresh_token, отличным от времени истечения access_token. Я не мог найти пример реализации в интернете (кроме одного из thinktecture, связанного выше), и мне потребовалось несколько часов расследования, пока он не сработал для меня.

новая информация: в моем случае у меня есть две разные возможности для получения токенов. Один, чтобы получить действительный маркер доступа. Там я должен отправить POST-вызов с телом строки в формате application/x-www-form-urlencoded со следующими данными

client_id=YOURCLIENTID&grant_type=password&username=YOURUSERNAME&password=YOURPASSWORD

во-вторых, если access_token больше не действует мы можно попробовать refresh_token, отправив вызов POST с телом строки в формате application/x-www-form-urlencoded С grant_type=refresh_token&client_id=YOURCLIENTID&refresh_token=YOURREFRESHTOKENGUID