使用identity+jwt保护你的webapi(三)——refresh token

前言

上一篇已经介绍了identity的注册,登录,获取jwt token,本篇来完成refresh token。

开始

开始之前先说明一下为什么需要refresh token。

虽然jwt token有很多优点,但是它的缺点也是非常明显。由于jwt无状态的特性,所以jwt一旦颁发,基本上就不可控了,在过期时间内一直有效。有些场景下我们是希望能控制token失效的,比如用户的重要数据被修改时(密码,角色,权限,等等),我们希望用户重新获取token,甚至重新登录。

那么refresh token就可以很好的弥补jwt的缺陷。虽然refresh token也无法直接控制jwt失效,但是在refresh token机制下,我们可以把token的有效期设置的短一些,比如30分钟,而refresh token的有效期可以很长;因为refresh token会持久化到数据库中,它是完全可控的。

很多人纠结的jwt滑动刷新,无感刷新,在refresh token机制下,都不是问题。

生成refresh_token

改造一下上一篇的代码,首先refresh token需要持久化到数据库中,定义实体:

public class RefreshToken
{[Key]public int Id { get; set; }[Required][StringLength(128)]public string JwtId { get; set; }[Required][StringLength(256)]public string Token { get; set; }/// <summary>/// 是否使用,一个RefreshToken只能使用一次/// </summary>[Required]public bool Used { get; set; }/// <summary>/// 是否失效。修改用户重要信息时可将此字段更新为true,使用户重新登录/// </summary>[Required]public bool Invalidated { get; set; }[Required]public DateTime CreationTime { get; set; }[Required]public DateTime ExpiryTime { get; set; }[Required]public int UserId { get; set; }[Required][ForeignKey(nameof(UserId))]public AppUser User { get; set; }
}

加入到DbContext:

public class AppDbContext : IdentityDbContext<AppUser, IdentityRole<int>, int>
{public DbSet<RefreshToken> RefreshTokens { get; set; }public AppDbContext(DbContextOptions<AppDbContext> options): base(options){}// 省略......
}

ef迁移:

dotnet ef migrations add AppDbContext_Added_RefreshTokendotnet ef database update

登录注册返回token时,也要把RefreshToken和ExpiresIn有效时间一起返回:

public class TokenResult
{public bool Success => Errors == null || !Errors.Any();public IEnumerable<string> Errors { get; set; }public string AccessToken { get; set; }public string TokenType { get; set; }public int ExpiresIn { get; set; }   // addpublic string RefreshToken { get; set; }  // add
}
public class TokenResponse
{[JsonPropertyName("access_token")] public string AccessToken { get; set; }[JsonPropertyName("token_type")] public string TokenType { get; set; }[JsonPropertyName("expires_in")]public int ExpiresIn { get; set; }  // add[JsonPropertyName("refresh_token")]public string RefreshToken { get; set; } // add
}

修改UserService创建token方法:

private async Task<TokenResult> GenerateJwtToken(AppUser user)
{var key = Encoding.ASCII.GetBytes(_jwtSettings.SecurityKey);var tokenDescriptor = new SecurityTokenDescriptor{Subject = new ClaimsIdentity(new[]{new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString("N")),new Claim(JwtRegisteredClaimNames.Sub, user.Id.ToString())}),IssuedAt = DateTime.UtcNow,NotBefore = DateTime.UtcNow,Expires = DateTime.UtcNow.Add(_jwtSettings.ExpiresIn),SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key),SecurityAlgorithms.HmacSha256Signature)};var jwtTokenHandler = new JwtSecurityTokenHandler();var securityToken = jwtTokenHandler.CreateToken(tokenDescriptor);var token = jwtTokenHandler.WriteToken(securityToken);var refreshToken = new RefreshToken(){JwtId = securityToken.Id,UserId = user.Id,CreationTime = DateTime.UtcNow,ExpiryTime = DateTime.UtcNow.AddMonths(6),Token = GenerateRandomNumber()};await _appDbContext.RefreshTokens.AddAsync(refreshToken);await _appDbContext.SaveChangesAsync();return new TokenResult(){AccessToken = token,TokenType = "Bearer",RefreshToken = refreshToken.Token,ExpiresIn = (int)_jwtSettings.ExpiresIn.TotalSeconds,};
}
private string GenerateRandomNumber(int len = 32)
{var randomNumber = new byte[len];using var rng = RandomNumberGenerator.Create();rng.GetBytes(randomNumber);return Convert.ToBase64String(randomNumber);
}

登录测试,已经返回了refresh_token:

81eafe8d2e6b35c923143ce080cadcff.png

使用refresh_token获取token

// RefreshToken 请求参数
public class RefreshTokenRequest
{[JsonPropertyName("access_token")]public string AccessToken { get; set; }[JsonPropertyName("refresh_token")]public string RefreshToken { get; set; }
}
public interface IUserService
{// 省略......Task<TokenResult> RefreshTokenAsync(string token, string refreshToken); // add
}

RefreshTokenAsync实现:

public async Task<TokenResult> RefreshTokenAsync(string token, string refreshToken)
{var claimsPrincipal = GetClaimsPrincipalByToken(token);if (claimsPrincipal == null){// 无效的token...return new TokenResult(){Errors = new[] { "1: Invalid request!" },};}var expiryDateUnix =long.Parse(claimsPrincipal.Claims.Single(x => x.Type == JwtRegisteredClaimNames.Exp).Value);var expiryDateTimeUtc = UnixTimeStampToDateTime(expiryDateUnix);if (expiryDateTimeUtc > DateTime.UtcNow){// token未过期...return new TokenResult(){Errors = new[] { "2: Invalid request!" },};}var jti = claimsPrincipal.Claims.Single(x => x.Type == JwtRegisteredClaimNames.Jti).Value;var storedRefreshToken =await _appDbContext.RefreshTokens.SingleOrDefaultAsync(x => x.Token == refreshToken);if (storedRefreshToken == null){// 无效的refresh_token...return new TokenResult(){Errors = new[] { "3: Invalid request!" },};}if (storedRefreshToken.ExpiryTime < DateTime.UtcNow){// refresh_token已过期...return new TokenResult(){Errors = new[] { "4: Invalid request!" },};}if (storedRefreshToken.Invalidated){// refresh_token已失效...return new TokenResult(){Errors = new[] { "5: Invalid request!" },};}if (storedRefreshToken.Used){// refresh_token已使用...return new TokenResult(){Errors = new[] { "6: Invalid request!" },};}if (storedRefreshToken.JwtId != jti){// refresh_token与此token不匹配...return new TokenResult(){Errors = new[] { "7: Invalid request!" },};}storedRefreshToken.Used = true;//_userDbContext.RefreshTokens.Update(storedRefreshToken);await _appDbContext.SaveChangesAsync();var dbUser = await _userManager.FindByIdAsync(storedRefreshToken.UserId.ToString());return await GenerateJwtToken(dbUser);
}

解析token,注意这里的tokenValidationParameters,这个参数和Startup中设置的tokenValidationParameters唯一的区别是ValidateLifetime = false,不验证过期时间。

private ClaimsPrincipal GetClaimsPrincipalByToken(string token)
{try{var tokenValidationParameters = new TokenValidationParameters{ValidateIssuer = false,ValidateAudience = false,ValidateIssuerSigningKey = true,IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(_jwtSettings.SecurityKey)),ClockSkew = TimeSpan.Zero,ValidateLifetime = false // 不验证过期时间!!!};var jwtTokenHandler = new JwtSecurityTokenHandler();var claimsPrincipal =jwtTokenHandler.ValidateToken(token, tokenValidationParameters, out var validatedToken);var validatedSecurityAlgorithm = validatedToken is JwtSecurityToken jwtSecurityToken&& jwtSecurityToken.Header.Alg.Equals(SecurityAlgorithms.HmacSha256,StringComparison.InvariantCultureIgnoreCase);return validatedSecurityAlgorithm ? claimsPrincipal : null;}catch{return null;}
}

最后是UserController:

[HttpPost("RefreshToken")]
public async Task<IActionResult> RefreshToken(RefreshTokenRequest request)
{var result = await _userService.RefreshTokenAsync(request.AccessToken, request.RefreshToken);if (!result.Success){return Unauthorized(new FailedResponse(){Errors = result.Errors});}return Ok(new TokenResponse{AccessToken = result.AccessToken,TokenType = result.TokenType,ExpiresIn = result.ExpiresIn,RefreshToken = result.RefreshToken});
}

测试token未过期时刷新token:

8a63511b99496dce059b6d9f1bb25f19.png

正常刷新token:

0ac1706131f8c8b2691dfc8804fe4165.png

refresh_token使用一次后,不可以再次使用:

f672a5f21fd2581ce2c8d1b6a03f3213.png

其他情况可以自行测试。。。

最后

总结一下,上面的代码看似很多,其实完成的功能非常简单;就是在用户获取token时,后台生成一个与之对应的refresh token一并返回,同时将refresh token保存到数据库中;refresh token的存在就是为了当token过期时,能免登录刷新一次token。(refresh token只能使用一次,用户重要数据比如密码修改时,可以将refresh token置为失效,使用户重新登录)。代码已上传至 [blogs/asp.net core identity + jwt/code at main · xiajingren/blogs (github.com)](https://github.com/xiajingren/blogs/tree/main/asp.net core identity %2B jwt/code "blogs/asp.net core identity + jwt/code at main · xiajingren/blogs (github.com)")

参考:

ASP.NET Core 简介 Identity | Microsoft Docs[1]

Mohamad Lawand - DEV Community[2]

参考资料

[1]

ASP.NET Core 简介 Identity | Microsoft Docs: https://docs.microsoft.com/zh-cn/aspnet/core/security/authentication/identity?view=aspnetcore-5.0&tabs=visual-studio

[2]

Mohamad Lawand - DEV Community: https://dev.to/moe23/comments

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/297181.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

一个10*10的正方形里,最多可以放多少个直径为1的圆?为啥不是100个?

祝大家元宵节快乐知识君曾经给大家出了一道题。↓Q&#xff1a;在一个10*10的正方形里&#xff0c;最多可以放多少个直径为1的圆&#xff1f;为啥不是100个&#xff1f;关于这道题&#xff0c;后台就收到了许多留言&#xff0c;大家纷纷给出了不同的答案。五花八门的答案&#…

【开源框架】:解决方案级别的代码生成器 WebFirst

框架描述WebFirst 是一新代的 代码生成器&#xff0c;用法简单&#xff0c;功能强大&#xff0c;支持多种数据库 &#xff0c;具体功能如下&#xff1a;一、 建库、CodeFirst方式在线建表&#xff0c;没用到CodeFirst的用户可以用工具轻松体验&#xff0c;支持公共字段二、导出…

在netbeans下使用调试PHP的插件XdeBug

本人的开发环境: wamp最新官网wampserver2.2d-x32版。 下载点&#xff1a;http://nchc.dl.sourceforge.net/project/wampserver/WampServer%202/WampServer%202.2/wampserver2.2d-x32.exe PHP&#xff1a;5.3.10 apache &#xff1a;2.2.21 要使用到NetBeans的调试功能&#xf…

老娘不就是没化妆吗?你几个意思?

1 可能是环境的原因唤醒了雪橇犬的祖传技能▼2 这是花仙子吧&#xff01;怎么能生的出这么好看的崽▼3 你什么表情&#xff1f;老娘不就是没化妆吗▼4 我们是专业的&#xff0c;一般不会笑除非忍不住▼5 你知道小兔子会游泳吗▼6 狗子的快乐你体会不了▼7 谁能告诉我这到…

790页微软官方《.Net核心编程》高清版PDF,提供下载

本文档由微软技术专家编写&#xff0c;从1.1版本持续维护升级至今&#xff0c;开篇就详细对比了各版本中的差异&#xff0c;内容包含了ASP.NET Core、Blazor、WebAPI、SignalR、gRPC、EF Core、云原生&#xff0c;既是最权威的&#xff0c;也是最全面的&#xff0c;是学习跨平台…

真烧脑!60种小学奥数分类题型大汇编!做了几道题,感觉身体被掏空……

全世界只有3.14 % 的人关注了爆炸吧知识很多的家长都在问&#xff1a;小学奥数怎么学&#xff1f;有哪些重点&#xff1f;需要大量练习吗&#xff1f;其实&#xff0c;数学的题型万变不离其宗&#xff0c;了解题型&#xff0c;领悟题目的思路方法&#xff0c;一定胜过盲目狂练5…

保护我方Id | ASP.NET Core Web API使用加密Id

前言上次&#xff0c;我们介绍了hashids.net&#xff0c;可以将数值型Id加密成无意义的字符串&#xff0c;但是通过这些字符串又可以反向映射出真实的Id以供内部使用。比如B站的播放链接https://www.bilibili.com/video/BV1xK4y1VXXX应该就是这种实现方式。但是&#xff0c;我们…

用java写注册表单_利用HTML表单标签编写一个注册页面

今天我们来写一个注册页面form表单先来利用表单标签制作一个简单的注册页面,给大家说说标签的结构:页面结构大体就是这样子的~利用HTML表单标签编写一个注册页面表单标签:所有需要提交到服务器端的表单项必须使用包起来~form标签的属性:action:整个表单提交的位置(可以是一个页…

我被Dapr点燃

Dapr的热度个人认为才刚刚热起来&#xff0c;9月份我写了Dapr .NET Core实战一共10篇&#xff0c;从基础概念到简单的实战&#xff0c;但是有很多人感兴趣&#xff0c;具体表现在我个人维护的QQ群&#xff0c;人数从80人左右&#xff0c;增加到了155&#xff0c;将近增加了1倍…

Http Only Cookie保护AccessToken

【导读】JWT认证方式目前已被广泛使用&#xff0c;一直以来我们将token放在请求头中的Authorization中&#xff0c;若通过此种方式&#xff0c;一旦token被恶意窃取&#xff0c;攻击者可肆意对用户可访问资源进行任意索取我们大多都是通过登录成功后&#xff0c;响应AccessToke…

当女朋友生气了而你却没发现 !!!

1 当女朋友生气了而你却没发现。。诶&#xff0c;你咋不吃呢&#xff1f;2 会说话的尾巴。。尾巴&#xff1a;人呢&#xff01;&#xff01;3 小树枝&#xff1a;生命中不能承受之重&#xff01;心疼小树枝&#xff01;4 土耳其冰淇淋小哥终于被反杀了&#xff01;天道好轮…

弱引用什么时候被回收_Java基础 强引用、弱引用、软引用、虚引用

前言在ThreadLocal源码中&#xff0c;其中嵌套类ThreadLocalMap中的Entry继承了WeakReferenc。Java中提供这四种引用类型主要有两个目的&#xff1a;第一是可以让程序员通过代码的方式决定某些对象的生命周期&#xff1b;第二是有利于JVM进行垃圾回收。强引用(StrongReference)…

再译《A *路径搜索入门》之四

2019独角兽企业重金招聘Python工程师标准>>> ■在A *方法总结 Summary of the A* Method 好了&#xff0c;现在你通过解释已经走了&#xff0c;让我们奠定了一步一步的方法&#xff0c;在同一个地方&#xff1a; Okay, now that you have gone through the explanat…

记一次 .NET 某电商定向爬虫 内存碎片化分析

一&#xff1a;背景 1. 讲故事上个月有位朋友wx找到我&#xff0c;说他的程序存在内存泄漏问题&#xff0c;寻求如何解决&#xff1f; 如下图所示&#xff1a;从截图中可以看出&#xff0c;这位朋友对 windbg 的操作还是有些熟悉的&#xff0c;可能缺乏一定的实操经验&#xff…

php 合成图片 透明,2020-05-19 php实现透明png多图合成

图片合成的流程一般是&#xff0c;获取图像资源——合成——输出。png图片&#xff0c;一般就用imagecreatefrompng()获取资源。不过这个资源获取后是有白底的。所以需要用imagesavealpha()进行图像处理&#xff0c;得到包含有透明背景的图像。//原始图像$dst "img/1.png…

ArcEngine 没有Esri.ArcGis.GeoAnalyst 命名空间

http://bbs.esrichina-bj.cn/ESRI/viewthread.php?tid69977&extrapage%3D1&ordertype1 AE安装的时候分为Core和Extension. Esri.ArcGis.GeoAnalyst位于Extension里面. (1)确保安装的时候是完全安装 (2) 转载于:https://www.cnblogs.com/imihiroblog/archive/2012/04/1…

微信功能“拍一拍”,都有谁在“拍”你?

全世界只有3.14 % 的人关注了爆炸吧知识微信新功能总在悄咪咪更新&#xff0c;“拍一拍”一出&#xff0c;很多小伙伴都会收到各种群里面千奇百怪的“拍一拍”&#xff0c;到底都是谁在偷偷关注你&#xff1f;真正决定人与人之间的差距的&#xff0c;其实是我们对事物的见识与内…

sql 触发器_一键生成某个sql的html--记录执行计划、统计信息、触发器等

概述当你获得某个sql的sql_id时&#xff0c;怎么去一键获得这个sql的一些信息呢&#xff0c;例如列的情况、执行计划等等..脚本有点长&#xff0c;建议大家用电脑来看..下面用一个简单测试来演示下&#xff0c;附脚本领取方式。1、获取sql_idSQL> select a.* from (select S…

别等了,全面「远程办公」凉了

大家好&#xff0c;我是Z哥。这是一篇迟到的文章。具体原因是&#xff0c;昨天定时发送的时候没注意已经过了0点了&#xff0c;习惯性的选了明天11点45&#xff0c;然后才发现实际变成10月9日的11&#xff1a;45了。赶紧取消重新发一下。好了&#xff0c;回到正文。不知道你是否…

PHP做闹钟APP,8款超好用的闹钟APP,专治各种赖床

这是什么神仙APP&#xff0c;我再也不怕冬天起不了床&#xff01;有了它们&#xff0c;再也不怕懒床迟到了&#xff01;好用到爆&#xff01;可爱女生闹钟(超可爱的用户界面)这界面真是太可爱了&#xff0c;软萌妹子必备啊。推荐指数&#xff1a;★★★★怪物闹钟(玩游戏才能关…