OWIN de Sécurité - Comment mettre en place OAuth2 Actualisation des Jetons

Juste à mes OWIN Service Porteur (appelé access_token dans la suite) et d'Actualisation des Jetons. Mon aperçu de cette est que vous pouvez utiliser différents flux. Donc, cela dépend de la circulation que vous souhaitez utiliser comment vous définissez votre access_token et refresh_token temps d'expiration.

Je vais vous décrire deux flux Un et B dans les suivantes (je suggère ce que vous voulez est le flux de B):

A) heure d'expiration de l'access_token et refresh_token sont les mêmes que c'est par défaut 1200 secondes ou 20 minutes. Ce flux a besoin de votre client premier à envoyer client_id et client_secret avec les données de connexion pour obtenir une access_token, refresh_token et expiration_time. Avec le refresh_token il est maintenant possible d'obtenir un nouveau access_token pendant 20 minutes (ou ce que vous définissez la AccessTokenExpireTimeSpan dans le OAuthAuthorizationServerOptions pour). Pour la raison que le temps d'expiration de l'access_token et refresh_token sont les mêmes, votre client est responsable pour obtenir un nouveau access_token avant l'expiration du temps! E. g. votre client peut envoyer une actualisation de POSTE de l'appel à votre jeton d'extrémité avec le corps (remarque: vous devez utiliser le protocole https en production)

grant_type=refresh_token&client_id=xxxxxx&refresh_token=xxxxxxxx-xxxx-xxxx-xxxx-xxxxx

pour obtenir un nouveau jeton par exemple, après 19 minutes pour éviter que les jetons à partir de l'expiration.

B) dans ce flux vous voulez avoir un effet à court terme de l'expiration de votre access_token et une longue durée d'expiration de votre refresh_token. Supposons à des fins de test, vous définissez l'access_token à échéance dans 10 secondes (AccessTokenExpireTimeSpan = TimeSpan.FromSeconds(10)) et le refresh_token à 5 Minutes. Maintenant vient la partie la plus intéressante du réglage de l'heure d'expiration de l'refresh_token: Vous faire dans votre createAsync fonction dans SimpleRefreshTokenProvider classe comme ceci:

var guid = Guid.NewGuid().ToString();


        //copy properties and set the desired lifetime of refresh token
        var refreshTokenProperties = new AuthenticationProperties(context.Ticket.Properties.Dictionary)
        {
            IssuedUtc = context.Ticket.Properties.IssuedUtc,
            ExpiresUtc = DateTime.UtcNow.AddMinutes(5) //SET DATETIME to 5 Minutes
            //ExpiresUtc = DateTime.UtcNow.AddMonths(3) 
        };
        /*CREATE A NEW TICKET WITH EXPIRATION TIME OF 5 MINUTES 
         *INCLUDING THE VALUES OF THE CONTEXT TICKET: SO ALL WE 
         *DO HERE IS TO ADD THE PROPERTIES IssuedUtc and 
         *ExpiredUtc to the TICKET*/
        var refreshTokenTicket = new AuthenticationTicket(context.Ticket.Identity, refreshTokenProperties);

        //saving the new refreshTokenTicket to a local var of Type ConcurrentDictionary<string,AuthenticationTicket>
        //consider storing only the hash of the handle
        RefreshTokens.TryAdd(guid, refreshTokenTicket);            
        context.SetToken(guid);

Maintenant votre client est en mesure d'envoyer un appel POST avec un refresh_token à votre jeton de point de terminaison lorsque le access_token est expiré. La partie du corps de l'appel peut ressembler à ceci: grant_type=refresh_token&client_id=xxxxxx&refresh_token=xxxxxxxx-xxxx-xxxx-xxxx-xx

Une chose importante est que vous pouvez utiliser ce code, non seulement dans vos CreateAsync fonction mais aussi dans la création de la fonction. Donc, vous devriez envisager d'utiliser votre propre fonction (par exemple appelé CreateTokenInternal) pour le code ci-dessus.
Ici vous pouvez trouver les implémentations des différents flux, y compris refresh_token flux(mais sans définir le délai d'expiration de la refresh_token)

Voici un exemple de mise en œuvre de IAuthenticationTokenProvider sur github (avec réglage de la date d'expiration de l'refresh_token)

Je suis désolé que je ne peux pas vous aider avec d'autres matériaux que le protocole OAuth les Spécifications et la Documentation de l'API de Microsoft. Je voudrais poster les liens ici, mais ma réputation ne me permet pas de poster plus de 2 liens....

J'espère que cela peut aider certains autres pour gagner du temps lors de la tentative de mettre en œuvre OAuth2.0 avec refresh_token temps d'expiration différente de access_token temps d'expiration. Je ne pouvais pas trouver un exemple de mise en œuvre sur le web (à l'exception de celui de thinktecture lien ci-dessus) et il m'a fallu quelques heures de l'enquête jusqu'à ce qu'il a travaillé pour moi.

Nouvelle info: Dans mon cas, j'ai deux possibilités différentes pour recevoir des jetons. On est à un access_token. Là, j'ai envoyer un appel POST avec un ensemble de Cordes en format application/x-www-form-urlencoded avec les données suivantes

client_id=YOURCLIENTID&grant_type=password&username=YOURUSERNAME&password=YOURPASSWORD

Seconde est si access_token n'est plus valide, nous pouvons tenter de le refresh_token par l'envoi d'un POSTE téléphonique avec un ensemble de Cordes en format application/x-www-form-urlencoded avec les données suivantes grant_type=refresh_token&client_id=YOURCLIENTID&refresh_token=YOURREFRESHTOKENGUID

Je ne pense pas que vous devriez être en utilisant un tableau de maintenir les jetons. Ni vous besoin d'un guid comme un jeton.

Vous pouvez facilement utiliser le contexte.SerializeTicket().

Voir mon code ci-dessous.

public class RefreshTokenProvider : IAuthenticationTokenProvider
{
public async Task CreateAsync(AuthenticationTokenCreateContext context)
{
Create(context);
}
public async Task ReceiveAsync(AuthenticationTokenReceiveContext context)
{
Receive(context);
}
public void Create(AuthenticationTokenCreateContext context)
{
object inputs;
context.OwinContext.Environment.TryGetValue("Microsoft.Owin.Form#collection", out inputs);
var grantType = ((FormCollection)inputs)?.GetValues("grant_type");
var grant = grantType.FirstOrDefault();
if (grant == null || grant.Equals("refresh_token")) return;
context.Ticket.Properties.ExpiresUtc = DateTime.UtcNow.AddDays(Constants.RefreshTokenExpiryInDays);
context.SetToken(context.SerializeTicket());
}
public void Receive(AuthenticationTokenReceiveContext context)
{
context.DeserializeTicket(context.Token);
if (context.Ticket == null)
{
context.Response.StatusCode = 400;
context.Response.ContentType = "application/json";
context.Response.ReasonPhrase = "invalid token";
return;
}
if (context.Ticket.Properties.ExpiresUtc <= DateTime.UtcNow)
{
context.Response.StatusCode = 401;
context.Response.ContentType = "application/json";
context.Response.ReasonPhrase = "unauthorized";
return;
}
context.Ticket.Properties.ExpiresUtc = DateTime.UtcNow.AddDays(Constants.RefreshTokenExpiryInDays);
context.SetTicket(context.Ticket);
}
}