Как обрабатывать токен доступа с истекшим сроком действия в asp.net ядро, использующее токен обновления с OpenId Connect

вы должны включить генерацию refresh_token, установив в startup.cs:

• установка значений AuthorizationEndpointPath = "/ connect / authorize"; / / необходимо для refreshtoken
• установка значений в TokenEndpointPath = "/ connect / token"; / / стандартное имя конечной точки токена

в поставщике маркеров перед проверкой запроса маркера в конце метода HandleTokenrequest убедитесь, что вы установили автономный область применения:

        // Call SetScopes with the list of scopes you want to grant
        // (specify offline_access to issue a refresh token).
        ticket.SetScopes(
            OpenIdConnectConstants.Scopes.Profile,
            OpenIdConnectConstants.Scopes.OfflineAccess);

если это правильно настроено, вы должны получить refresh_token обратно при входе в систему с паролем grant_type.

затем от вашего клиента вы должны выдать следующий запрос (я использую Aurelia):

refreshToken() {
    let baseUrl = yourbaseUrl;

    let data = "client_id=" + this.appState.clientId
               + "&grant_type=refresh_token"
               + "&refresh_token=myRefreshToken";

    return this.http.fetch(baseUrl + 'connect/token', {
        method: 'post',
        body : data,
        headers: {
            'Content-Type': 'application/x-www-form-urlencoded',
            'Accept': 'application/json' 
        }
    });
}

и это все, убедитесь, что ваш поставщик auth в HandleRequestToken не пытается манипулировать запросом, который имеет тип refresh_token:

    public override async Task HandleTokenRequest(HandleTokenRequestContext context)
    {
        if (context.Request.IsPasswordGrantType())
        {
            // Password type request processing only
            // code that shall not touch any refresh_token request
        }
        else if(!context.Request.IsRefreshTokenGrantType())
        {
            context.Reject(
                    error: OpenIdConnectConstants.Errors.InvalidGrant,
                    description: "Invalid grant type.");
            return;
        }

        return;
    }

refresh_token должен просто пройти через это метод и обрабатывается другой частью промежуточного программного обеспечения, которая обрабатывает refresh_token.

если вы хотите получить более глубокие знания о том, что делает сервер аутентификации, вы можете взглянуть на код OpenIdConnectServerHandler:

https://github.com/aspnet-contrib/AspNet.Security.OpenIdConnect.Server/blob/master/src/AspNet.Security.OpenIdConnect.Server/OpenIdConnectServerHandler.Exchange.cs

на стороне клиента, вы также должны быть в состоянии обработайте автоматическое обновление маркера, вот пример перехватчика http для Angular 1.X, где обрабатывается 401 ответ, обновите токен, затем повторите запрос:

'use strict';
app.factory('authInterceptorService',
    ['$q', '$injector', '$location', 'localStorageService',
    function ($q, $injector, $location, localStorageService) {

    var authInterceptorServiceFactory = {};
    var $http;

    var _request = function (config) {

        config.headers = config.headers || {};

        var authData = localStorageService.get('authorizationData');
        if (authData) {
            config.headers.Authorization = 'Bearer ' + authData.token;
        }

        return config;
    };

    var _responseError = function (rejection) {
        var deferred = $q.defer();
        if (rejection.status === 401) {
            var authService = $injector.get('authService');
            console.log("calling authService.refreshToken()");
            authService.refreshToken().then(function (response) {
                console.log("token refreshed, retrying to connect");
                _retryHttpRequest(rejection.config, deferred);
            }, function () {
                console.log("that didn't work, logging out.");
                authService.logOut();

                $location.path('/login');
                deferred.reject(rejection);
            });
        } else {
            deferred.reject(rejection);
        }
        return deferred.promise;
    };

    var _retryHttpRequest = function (config, deferred) {
        console.log('autorefresh');
        $http = $http || $injector.get('$http');
        $http(config).then(function (response) {
            deferred.resolve(response);
        },
        function (response) {
            deferred.reject(response);
        });
    }

    authInterceptorServiceFactory.request = _request;
    authInterceptorServiceFactory.responseError = _responseError;
    authInterceptorServiceFactory.retryHttpRequest = _retryHttpRequest;

    return authInterceptorServiceFactory;
}]);

и вот пример, который я только что сделал для Aurelia, на этот раз я обернул свой http-клиент в HTTP-обработчик, который проверяет, истек ли токен или нет. Если он истек, он сначала обновит токен, а затем выполнит запрос. Он использует обещание сохранить интерфейс со службами данных на стороне клиента последовательный. Этот обработчик предоставляет тот же интерфейс, что и клиент Aurelia-fetch.

import {inject} from 'aurelia-framework';
import {HttpClient} from 'aurelia-fetch-client';
import {AuthService} from './authService';

@inject(HttpClient, AuthService)
export class HttpHandler {

    constructor(httpClient, authService) {
        this.http = httpClient;
        this.authService = authService;
    }

    fetch(url, options){
        let _this = this;
        if(this.authService.tokenExpired()){
            console.log("token expired");
            return new Promise(
                function(resolve, reject) {
                    console.log("refreshing");
                    _this.authService.refreshToken()
                    .then(
                       function (response) {
                           console.log("token refreshed");
                        _this.http.fetch(url, options).then(
                            function (success) { 
                                console.log("call success", url);
                                resolve(success);
                            }, 
                            function (error) { 
                                console.log("call failed", url);
                                reject(error); 
                            }); 
                       }, function (error) {
                           console.log("token refresh failed");
                           reject(error);
                    });
                }
            );
        } 
        else {
            // token is not expired, we return the promise from the fetch client
            return this.http.fetch(url, options); 
        }
    }
}

для jquery вы можете посмотреть jquery oAuth:

https://github.com/esbenp/jquery-oauth

надеюсь, что это помогает.