Question

我正在使用Visual Studio 2015 Enterprise Update 1和ASP.NET vNext rc1-update1来发布和使用JWT令牌，如here所述。

在我们的实现中，我们希望控制令牌生存期验证。

我们尝试了几种方法，所有方法都有不良副作用。例如，在一次尝试中，我们接管了 Configure 方法中的TokenValidationParameters.TokenValidationParameters.LifetimeValidator事件：

app.UseJwtBearerAuthentication
(
    options => 
    {
        options.TokenValidationParameters = new TokenValidationParameters()
        {
            LifetimeValidator = (DateTime? notBefore, DateTime? expires, SecurityToken securityToken, TokenValidationParameters validationParameters) =>
            {
                // Pretend to do custom validation
                return false;
            }
        };
    }
);

该事件导致验证失败，因为客户端收到500错误，而我们希望返回400系列错误和小负载。

在另一次尝试中，我们尝试了各种TokenValidationParameters.Events实现，例如检查ValidatedToken事件中的声明，但发现我们无法阻止中间件调用控制器操作，而不是抛出异常导致我们回到500错误问题

所以我的问题是：

使用OIDC接管终身验证的最佳做法是什么？
我们是否可以强制OIDC不要在代码中包含某些终身声明，例如“nbf”，因为我们无论如何都不需要它们？

Answer 1

编辑：此错误已在ASP.NET Core RC2中修复。不再需要此答案中描述的解决方法。

这是一个known bug。遗憾的是，the workaround you could use in beta8不再有效in RC1。

您唯一的选择是编写一个捕获异常的中间件，以防止服务器返回500响应。当然，它很丑陋，可能隐藏重要的异常，但它是唯一适用于RC1的已知解决方法。

这是一个例子（确保在JWT承载中间件之前注册）：

app.Use(next => async context => {
    try {
        await next(context);
    }

    catch {
        // If the headers have already been sent, you can't replace the status code.
        // In this case, throw an exception to close the connection.
        if (context.Response.HasStarted) {
            throw;
        }

        context.Response.StatusCode = 401;
    }
});

使用AspNet.Security.OpenIdConnect.Server进行自定义生命周期验证（ASP.NET vNext）

1 个答案: