IdentityServer4刷新令牌永不过期

Question

我们正在使用IdentityServer4，并且在使用刷新令牌时遇到问题。

这是我的客户端配置：   赠款类型：     client_credentials     混合

• 访问令牌生存期：
  • 60
• 身份令牌生存期：
  • 900
• 绝对刷新令牌生存期：
  • 240
• 滑动式刷新令牌生存期：
  • 60
• 刷新令牌用法：
  • OneTimeOnly
• 刷新令牌到期：
  • 绝对

我正在检查访问令牌的生存时间，当它即将到期时，我使用刷新令牌来获取新的访问令牌。 240秒后，访问令牌的生存时间不再延长，并且我的客户端转到Identity Server，它将为我的客户端发行一组新的令牌。

我希望我的用户在刷新令牌到期后输入用户名/密码。购买Identity Server发行新令牌，而不是询问证书。

有什么想法吗？

Answer 1

如果我的理解正确，您想强迫用户从客户端进行交互身份验证吗？如果是这样，则可以使用max_age=n或prompt=login authorize端点参数来触发该流，然后可以在客户端中验证auth_time声明以确保它足够新。 / p>

当前，这是在没有提示的情况下发生的，因为用户仍通过身份验证cookie拥有有效的IDP会话。建议您在设置IDP会话以使其与客户端应用程序会话生存期保持一致的基础上，使用上述方法。