Question

我在webApi应用程序中使用基于令牌的身份验证。对于每次登录，OAuth都会为用户生成访问令牌。如果用户尝试多次登录。它可能拥有一些更有效的令牌。这个过程有限制吗？

这是我的Startup类：

 public void Configuration(IAppBuilder app)
 {
     HttpConfiguration config = new HttpConfiguration();

     ConfigureOAuth(app);

     WebApiConfig.Register(config);
     app.UseCors(Microsoft.Owin.Cors.CorsOptions.AllowAll);
     app.UseWebApi(config);
     //Rest of code is here;
 }

 public void ConfigureOAuth(IAppBuilder app)
 {
     OAuthAuthorizationServerOptions OAuthServerOptions = new OAuthAuthorizationServerOptions()
     {
         AllowInsecureHttp = true,
         TokenEndpointPath = new PathString("/token"),
         AccessTokenExpireTimeSpan = TimeSpan.FromDays(1),
         Provider = new SimpleAuthorizationServerProvider()
     };

     // Token Generation
     app.UseOAuthAuthorizationServer(OAuthServerOptions);
     app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());
 }

这里是“GrantResourceOwnerCredentials”方法：

 public override async Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
 {
 context.OwinContext.Response.Headers.Add("Access-Control-Allow-Origin", new[] { "*" });

 using (AuthRepository _repo = new AuthRepository())
 {
     IdentityUser user = await _repo.FindUser(context.UserName, context.Password);

     if (user == null)
     {
         context.SetError("invalid_grant", "The user name or password is incorrect.");
         return;
     }
 }

 var identity = new ClaimsIdentity(context.Options.AuthenticationType);
 identity.AddClaim(new Claim("sub", context.UserName));
 identity.AddClaim(new Claim("role", "user"));

 context.Validated(identity);

 }

Answer 1

我担心令牌在到期之前有效，并且它将包含与用户相关的所有信息。

为了做你想做的事，你必须创建自己的图层来验证用户是否有令牌，比如创建一个映射表，然后自定义过滤器，如果用户没有使用最后一个令牌则拒绝请求为他而生。

Answer 2

oauth令牌的一个主要限制是它到期了。因此，如果您生成长期生存令牌，那么它会长时间有效。所以处理这种senerio的一些常用方法是：

使用额外的刷新令牌发出短生活令牌
将令牌存储在数据库中，每次生成新令牌时，都会使旧的令牌状态过期。然后，您可以编写自定义授权属性以检查令牌是否过期。

如何在ASP.NET标识中将用户限制为仅一个访问令牌

2 个答案: