翻译一篇英文文章，主要是给自己看的——在ASP.NET Core Web Api中如何刷新token

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了翻译一篇英文文章，主要是给自己看的——在ASP.NET Core Web Api中如何刷新token，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含12217字，纯文字阅读大概需要18分钟。

内容图文

原文地址 ：https://www.blinkingcaret.com/2018/05/30/refresh-tokens-in-asp-net-core-web-api/

先申明，本人英语太菜，每次看都要用翻译软件对着看，太痛苦了，所以才翻译的这篇博客，英语好的自己去看，以下为正文

 

当使用访问令牌来保护web api时，首先想到的是令牌过期时该怎么办?

您是否再次要求用户提供凭证?这并不是一个好的选择。

这篇博客文章是关于使用refresh令牌来解决这个问题的。特别是在 ASP.NET Core Web Apis 中使用JWT令牌。

 

首先，这真的是一件大事吗?为什么不直接在访问令牌中设置一个较长的过期日期呢?例如，一个月甚至一年?

因为如果我们这么做了，有人设法拿到了那个token，他们可以用一个月，或者一年。即使你更改了密码。

这是因为，如果令牌的签名有效，服务器将信任它，而使其无效的惟一方法是更改用于签名的密钥，这将导致其他所有人的令牌无效。

那就没得选了。这就引出了使用refresh令牌的想法。

 

那么刷新令牌是如何工作的呢?

想象一下，当您获得一个访问令牌时，您还会获得另一个一次性使用的令牌:refresh令牌。应用程序存储刷新令牌，然后不去管它。

每当应用程序向服务器发送请求时，它都会发送访问令牌(这里的授权:承载令牌)，以便服务器知道您是谁。总有一天令牌会过期，服务器会以某种方式通知您。

当这种情况发生时，您的应用程序将发送过期令牌和刷新令牌，并获取新令牌和刷新令牌。如此重复替换。

如果有可疑的事情发生，刷新令牌可以被撤销，这意味着当应用程序试图使用它来获得一个新的访问令牌时，该请求将被拒绝，用户将不得不输入凭据才能再次登录。

 

为了明确最后一点，假设应用程序在创建refresh令牌时存储请求的位置(例如，爱尔兰的都柏林)。如果用户可以访问这些信息,如果有一些登录用户不认可的地方,用户可以撤销刷新令牌,这样当访问令牌到期谁使用它将无法继续使用的应用程序。这就是为什么它可能是一个好主意是短暂的(我有访问令牌。有效期为几分钟)。

要使用刷新令牌，我们需要能够做到:

• 创建访问令牌(我们将在这里使用JWT)
• 生成、保存、检索和撤销刷新令牌(服务器端)
• 将过期的JWT令牌和刷新令牌替换为新的JWT令牌和刷新令牌(即刷新JWT令牌)
• 使用ASP.NET身份验证中间件，用于使用JWT令牌对用户进行身份验证
• 有一种方法来通知应用程序访问令牌已过期(可选)
• 当令牌过期时，让客户端透明地获取新令牌

如果您需要关于这些主题的单独信息，请继续。如果你想看到所有这些一起工作，你可以在这里找到一个演示项目（demo project here）。

 

创建JWT访问令牌

如果你想要一个关于如何在ASP.NET Core中使用JWT的更详细的描述，我建议查看Secure a Web Api in ASP.NET Core。这是一个总结。。

首先需要添加 System.IdentityModel.Tokens.Jwt 包:

$ dotnet add package System.IdentityModel.Tokens.Jwt

创建一个新的JWT令牌:

private string GenerateToken(IEnumerable<Claim> claims)
{
    var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("the server key used to sign the JWT token is here, use more than 16 chars"));

    var jwt = new JwtSecurityToken(issuer: "Blinkingcaret",
        audience: "Everyone",
        claims: claims, //the user's claims, for example new Claim[] { new Claim(ClaimTypes.Name, "The username"), //... 
        notBefore: DateTime.UtcNow,
        expires: DateTime.UtcNow.AddMinutes(5),
        signingCredentials: new SigningCredentials(key, SecurityAlgorithms.HmacSha256)
    );    

    return new JwtSecurityTokenHandler().WriteToken(jwt); //the method is called WriteToken but returns a string
}

　　

这里我们创建了一个新的jwt令牌，它的过期日期是5分钟，使用HmacSha256进行签名。

生成、保存、检索和撤销刷新令牌

刷新标记必须是惟一的，不可能(或很难)猜测它们。

一个简单的GUID似乎满足这个条件。不幸的是，生成guid的过程不是随机的。这意味着，给定几个guid，您可以很容易地猜测下一个guid。

值得庆幸的是，在ASP中有一个安全的随机数生成器。NET Core，我们可以用它来生成一个唯一的字符串，即使给出其中的几个，也很难预测下一个会是什么样子:

using System.Security.Cryptography;

//...

public string GenerateRefreshToken()
{
    var randomNumber = new byte[32];
    using (var rng = RandomNumberGenerator.Create()){
        rng.GetBytes(randomNumber);
        return Convert.ToBase64String(randomNumber);
    }
}

　　

这里我们生成一个32字节长的随机数，并将其转换为base64，这样我们就可以将它用作字符串。没有关于长度的指导，除了它应该导致一个唯一的和难以猜测的令牌之外。我选了32，但16也可以。

我们需要在首次生成JWT令牌和“刷新”过期令牌时生成刷新令牌。

每次生成新的刷新令牌时，我们都应该以一种将其链接到发出访问令牌的用户的方式保存。

最简单的方法是在用户表中为refresh标记添加一个额外的列。其结果是只允许用户在一个位置登录(每个用户一次只有一个有效的刷新令牌)。

 

或者，您可以为每个用户维护多个刷新令牌，并从发起它们的请求中保存地理位置、时间等，以便为用户提供活动报告。

另外，让refresh令牌过期可能是一个好主意，例如在几天之后(必须与refresh令牌一起保存过期日期)。

一定不要忘记的一件事是，在刷新操作中使用刷新标记时删除它，这样它就不能被多次使用。

 

将过期的JWT和刷新令牌替换为新的JWT令牌和刷新令牌(即刷新JWT令牌)

要从过期的访问令牌获取新的访问令牌，我们需要能够访问令牌内的声明，即使令牌已过期。

当您使用ASP.NET Core 身份验证中间件对使用JWT的用户进行身份验证时，它将向过期令牌返回401响应。

我们需要创建一个允许匿名用户的控制器动作，并接受JWT和refresh令牌。

 

我们需要创建一个允许匿名用户的控制器动作，并接受JWT和refresh令牌。

在该控制器操作中，我们需要手动验证过期的访问令牌(可以选择忽略令牌生存期)，并提取其中包含的关于用户的所有信息。

然后，我们可以使用用户信息来检索存储的刷新令牌。然后，我们可以将存储的refresh令牌与在请求中发送的令牌进行比较。

如果一切正常，我们将创建新的JWT和刷新令牌，保存新的刷新令牌，丢弃旧的，并将新的JWT和刷新令牌发送到客户机。

下面是如何从过期的JWT令牌中检索ClaimsPrincipal形式的用户信息:

private ClaimsPrincipal GetPrincipalFromExpiredToken(string token)
{
    var tokenValidationParameters = new TokenValidationParameters
    {
        ValidateAudience = false, //you might want to validate the audience and issuer depending on your use case
        ValidateIssuer = false,
        ValidateIssuerSigningKey = true,
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("the server key used to sign the JWT token is here, use more than 16 chars")),
        ValidateLifetime = false //here we are saying that we don't care about the token's expiration date
    };

    var tokenHandler = new JwtSecurityTokenHandler();
    SecurityToken securityToken;
    var principal = tokenHandler.ValidateToken(token, tokenValidationParameters, out securityToken);
    var jwtSecurityToken = securityToken as JwtSecurityToken;
    if (jwtSecurityToken == null || !jwtSecurityToken.Header.Alg.Equals(SecurityAlgorithms.HmacSha256, StringComparison.InvariantCultureIgnoreCase))
        throw new SecurityTokenException("Invalid token");

    return principal;
}

　　

上面代码片段中值得注意的部分是，我们在TokenValidationParameters中使用了ValidateLifeTime = false，因此过期的令牌被认为是有效的。此外，我们正在检查用于对令牌进行签名的算法是否符合我们的期望(在本例中为HmacSha256)。

这样做的原因是，理论上可以创建JWT令牌并将签名算法设置为“none”（set the signing algorithm to “none”. ）。JWT令牌将是有效的(即使未签名)。通过这种方式使用有效的刷新令牌，就可以将一个假令牌替换为一个真正的JWT令牌。

现在我们只需要控制器的行动(它应该是一个帖子，因为它有副作用，而且令牌太长查询字符串参数):

[HttpPost]
public IActionResult Refresh(string token, string refreshToken)
{                   
    var principal = GetPrincipalFromExpiredToken(token);
    var username = principal.Identity.Name;
    var savedRefreshToken = GetRefreshToken(username); //retrieve the refresh token from a data store
    if (savedRefreshToken != refreshToken)
        throw new SecurityTokenException("Invalid refresh token");

    var newJwtToken = GenerateToken(principal.Claims);
    var newRefreshToken = GenerateRefreshToken();
    DeleteRefreshToken(username, refreshToken);
    SaveRefreshToken(username, newRefreshToken);

    return new ObjectResult(new {
        token = newJwtToken,
        refreshToken = newRefreshToken
    });
}

　　

上面的片段中有一些假设。我省略了检索、保存和删除，还假设每个用户只有一个刷新令牌，这是最简单的场景。

asp.net core身份验证中间件使用jwt令牌对用户进行身份验证

我们需要配置asp.net core的中间件管道，以便如果请求头部带有有效的 Authorization: Bearer JWT_TOKEN?授权，则用户是“已登录”的（“signed in”）

 

如果您想更深入地讨论如何特别在asp.net core中设置jwt，请查看Secure a Web Api in ASP.NET Core.。

在ASP.NET Core2.0版本之后，我们向管道中添加了一个身份验证中间件，并在startup.cs的configureservices中对其进行配置：

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvc();
    //...

    services.AddAuthentication(options =>
    {
        options.DefaultAuthenticateScheme = "bearer";
        options.DefaultChallengeScheme = "bearer";
    }).AddJwtBearer("bearer", options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateAudience = false,
            ValidateIssuer = false,
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("the server key used to sign the JWT token is here, use more than 16 chars")),
            ValidateLifetime = true,
            ClockSkew = TimeSpan.Zero //the default for this setting is 5 minutes
        };
        options.Events = new JwtBearerEvents
        {
            OnAuthenticationFailed = context =>
            {
                if (context.Exception.GetType() == typeof(SecurityTokenExpiredException))
                {
                    context.Response.Headers.Add("Token-Expired", "true");
                }
                return Task.CompletedTask;
            }
        };
    });
}

　　

上面代码片段中需要注意的是对onAuthenticationFailed事件的处理。当请求带有过期令牌时，它将向响应添加令牌过期头。客户端可以使用此信息来决定使用刷新令牌。但是，我们可以让客户机在收到401响应时尝试使用刷新令牌。我们将依赖于头部过期令牌恢复博客的post请求（原翻译：我们将依赖于这个博客文章的其余部分的响应中的令牌过期头）。

现在我们只需要将身份验证中间件添加到管道：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }

    app.UseAuthentication();
    //...

　客户端

这里的目标是构建一个api客户机，该客户机可以意识到令牌何时过期，并采取适当的操作来获取新令牌，并透明地执行所有这些操作。

当请求因访问令牌过期而失败时，应使用访问和刷新令牌将新请求发送到刷新端点。在该请求完成并且客户端获得新的令牌之后，应该重复原始请求。

实现这一点将取决于您使用的客户机类型。这里我们将描述一个可能的javascript客户端。我们将依赖于对请求的响应，该请求具有一个名为“token expired”的头的过期令牌。我们将使用fetch来执行对web api的请求。

async function fetchWithCredentials(url, options) {
    var jwtToken = getJwtToken();
    options = options || {};
    options.headers = options.headers || {};
    options.headers['Authorization'] = 'Bearer ' + jwtToken;
    var response = await fetch(url, options);
    if (response.ok) { //all is good, return the response
        return response;
    }

    if (response.status === 401 && response.headers.has('Token-Expired')) {
        var refreshToken = getRefreshToken();

        var refreshResponse = await refresh(jwtToken, refreshToken);
        if (!refreshResponse.ok) {
            return response; //failed to refresh so return original 401 response
        }
        var jsonRefreshResponse = await refreshResponse.json(); //read the json with the new tokens

        saveJwtToken(jsonRefreshResponse.token);
        saveRefreshToken(jsonRefreshResponse.refreshToken);
        return await fetchWithCredentials(url, options); //repeat the original request
    } else { //status is not 401 and/or there's no Token-Expired header
        return response; //return the original 401 response
    }
}

　　

?

在上面的代码片段中有getjwttoken、getrefreshtoken、savejwttoken和saverefreshttoken。在浏览器中，它们将使用浏览器的本地存储来保存和检索令牌，

例如：

function getJwtToken() {
    return localStorage.getItem('token');
}

function getRefreshToken() {
    return localStorage.getItem('refreshToken');
}

function saveJwtToken(token) {
    localStorage.setItem('token', token);
}

function saveRefreshToken(refreshToken) {
    localStorage.setItem('refreshToken', refreshToken);
}

还有刷新功能。此函数执行对API终结点的POST请求以刷新令牌，例如，如果该终结点位于/token/refresh：

async function refresh(jwtToken, refreshToken) {
    return fetch('token/refresh', {
        method: 'POST',
        body: `token=${encodeURIComponent(jwtToken)}&refreshToken=${encodeURIComponent(getRefreshToken())}`,
        headers: {
            'Content-Type': 'application/x-www-form-urlencoded'
        }
    });
}

　　如果您在chrome开发人员工具控制台中尝试使用此客户端，则其外观如下：

 

这里要注意的一件事是401在控制台中显示为红色。当请求因令牌过期而失败时会发生这种情况。

如果您希望避免看到“错误”（引号中的错误，因为它是有效的状态代码，在本例中是适当的），则可以在javascript中访问令牌的到期日期，并在到期前刷新它。 

jwt令牌有3个部分，由一个“.”分隔。第二部分包含用户的声明，其中有一个名为exp的声明，其中包含令牌过期时的unix时间戳。这是如何获取带有jwt令牌到期日期的javascript日期对象的方法：

var claims = JSON.parse(atob(token.split('.')[1]));
var expirationDate = new Date(claims.exp*1000); //unix timestamp is in seconds, javascript in milliseconds

　

检查到期日期感觉很复杂，所以我不建议这样做（同时处理时区可能是个问题）。我决定提到这一点是因为这是一件很有趣的事情，这让我们很清楚，你在jwt令牌中放入的东西不是秘密的，它不能被篡改，除非使令牌无效。

 

希望你觉得这篇文章有趣。如果是这样的话，在评论中放一行。

内容总结

以上是互联网集市为您收集整理的翻译一篇英文文章，主要是给自己看的——在ASP.NET Core Web Api中如何刷新token全部内容，希望文章能够帮你解决翻译一篇英文文章，主要是给自己看的——在ASP.NET Core Web Api中如何刷新token所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

---