Обработка просроченных токенов обновления в ASP.NET Core

Токен доступа и токен обновления хранятся в ядре ASP.NET.

Я думаю, важно отметить, что токены хранятся в файле cookie, который идентифицирует пользователя для вашего приложения.

Это мое мнение, но я не думаю, что настраиваемое промежуточное ПО - подходящее место для обновления токенов. Причина этого в том, что если вы успешно обновите токен, вам нужно будет заменить существующий и отправить его обратно в браузер в виде нового файла cookie, который заменит существующий.

Вот почему я думаю, что наиболее подходящим местом для этого является то, когда файл cookie считывается ASP.NET Core. Каждый механизм аутентификации предоставляет несколько событий; для файлов cookie есть тот, который называется ValidatePrincipal, который вызывается при каждом запросе после того, как файл cookie был прочитан и идентификатор был успешно десериализован из него.

public void ConfigureServices(ServiceCollection services)
{
    services
        .AddAuthentication()
        .AddCookies(new CookieAuthenticationOptions
        {
            Events = new CookieAuthenticationEvents
            {
                OnValidatePrincipal = context =>
                {
                    // context.Principal gives you access to the logged-in user
                    // context.Properties.GetTokens() gives you access to all the tokens

                    return Task.CompletedTask;
                }
            }
        });
}

Этот подход хорош тем, что если вам удастся обновить токен и сохранить его в AuthenticationProperties, переменная context, имеющая тип CookieValidatePrincipalContext, будет иметь свойство с именем

Приятно то, что если ваше приложение MVC разрешает доступ к нему только аутентифицированным пользователям, MVC позаботится о выдаче ответа HTTP 401, который система аутентификации поймает и превратит в вызов, и пользователь будет перенаправлен обратно к поставщику удостоверений. .

У меня есть код, который показывает, как это будет работать, в репозитории mderriey/TokenRenewal на GitHub. Хотя цель иная, она показывает механику использования этих событий.

Я создал альтернативную реализацию, которая имеет некоторые дополнительные преимущества:

• Совместим с ASP.NET Core v3.1
• Повторно использует параметры конфигурации OpenID, переданные методу AddOpenIdConnect. Это немного упрощает настройку клиента.
• Использует документ обнаружения Open ID Connect для определения конечной точки токена. Вы можете выбрать кэширование конфигурации, чтобы сэкономить дополнительный возврат к Identity Server.
• Не блокирует поток во время вызовов аутентификации (асинхронная операция), улучшая масштабируемость.

Это обновленный OnValidatePrincipal метод:

private async Task OnValidatePrincipal(CookieValidatePrincipalContext context)
{
    const string accessTokenName = "access_token";
    const string refreshTokenName = "refresh_token";
    const string expirationTokenName = "expires_at";

    if (context.Principal.Identity.IsAuthenticated)
    {
        var exp = context.Properties.GetTokenValue(expirationTokenName);
        if (exp != null)
        {
            var expires = DateTime.Parse(exp, CultureInfo.InvariantCulture).ToUniversalTime();
            if (expires < DateTime.UtcNow)
            {
                // If we don't have the refresh token, then check if this client has set the
                // "AllowOfflineAccess" property set in Identity Server and if we have requested
                // the "OpenIdConnectScope.OfflineAccess" scope when requesting an access token.
                var refreshToken = context.Properties.GetTokenValue(refreshTokenName);
                if (refreshToken == null)
                {
                    context.RejectPrincipal();
                    return;
                }

                var cancellationToken = context.HttpContext.RequestAborted;

                // Obtain the OpenIdConnect options that have been registered with the
                // "AddOpenIdConnect" call. Make sure we get the same scheme that has
                // been passed to the "AddOpenIdConnect" call.
                //
                // TODO: Cache the token client options
                // The OpenId Connect configuration will not change, unless there has
                // been a change to the client's settings. In that case, it is a good
                // idea not to refresh and make sure the user does re-authenticate.
                var serviceProvider = context.HttpContext.RequestServices;
                var openIdConnectOptions = serviceProvider.GetRequiredService<IOptionsSnapshot<OpenIdConnectOptions>>().Get(OpenIdConnectScheme);
                var configuration = openIdConnectOptions.Configuration ?? await openIdConnectOptions.ConfigurationManager.GetConfigurationAsync(cancellationToken).ConfigureAwait(false);
                
                // Set the proper token client options
                var tokenClientOptions = new TokenClientOptions
                {
                    Address = configuration.TokenEndpoint,
                    ClientId = openIdConnectOptions.ClientId,
                    ClientSecret = openIdConnectOptions.ClientSecret
                };
                
                var httpClientFactory = serviceProvider.GetService<IHttpClientFactory>();
                using var httpClient = httpClientFactory.CreateClient();

                var tokenClient = new TokenClient(httpClient, tokenClientOptions);
                var tokenResponse = await tokenClient.RequestRefreshTokenAsync(refreshToken, cancellationToken: cancellationToken).ConfigureAwait(false);
                if (tokenResponse.IsError)
                {
                    context.RejectPrincipal();
                    return;
                }

                // Update the tokens
                var expirationValue = DateTime.UtcNow.AddSeconds(tokenResponse.ExpiresIn).ToString("o", CultureInfo.InvariantCulture);
                context.Properties.StoreTokens(new []
                {
                    new AuthenticationToken { Name = refreshTokenName, Value = tokenResponse.RefreshToken },
                    new AuthenticationToken { Name = accessTokenName, Value = tokenResponse.AccessToken },
                    new AuthenticationToken { Name = expirationTokenName, Value = expirationValue }
                });

                // Update the cookie with the new tokens
                context.ShouldRenew = true;
            }
        }
    }
}