IdentityServer 3 aggiorna utente con token di aggiornamento

Question

Stiamo provando a configurare Identity Server 3 nel modo corretto. L'autenticazione funziona correttamente e riusciamo a recuperare il token di aggiornamento.

L'applicazione client utilizza Angolare.

Ora, quando acces_token termina le chiamate al resto, api non riesce (siamo riusciti a farlo restituire 401) ma ci stiamo chiedendo come autenticare nuovamente l'utente.

Nei nostri test, qualsiasi chiamata api effettuata da Javascript non riesce (401) ma non appena la pagina viene aggiornata l'intero meccanismo si avvia. Vediamo che siamo reindirizzati al server di identità ma non mostra fino alla pagina di accesso, verremo reindirizzati all'applicazione client con nuovi token apparentemente.

Quello che mi piacerebbe fare è aggiornare il token di accesso senza dover forzare l'utente ad aggiornare la pagina.

Ciò che non sono sicuro è di chi è la responsabilità? È l'applicazione client (sito Web) o l'applicazione angolare? In altre parole, se l'applicazione lo gestisce in modo trasparente per Angular o dovrebbe fare qualcosa angolare quando riceve un 401, nel qual caso, non sono molto sicuro di come le informazioni torneranno all'applicazione web.

Qualsiasi indizio?

Informazioni aggiuntive: Stiamo usando OpenID Connect

Answer 1

ho ottenuto che funziona!

Come ho detto nei commenti, ho utilizzato l'articolo this. Lo scrittore fa riferimento a uno very nice lib che sto usando pure.

Fatti:

1. Identity Server 3 richiede il segreto cliente al momento l'accesso token di aggiornamento
2. non si dovrebbe conservare il refresh_token o client_secret sull'applicazione javascript in quanto sono considerati non sicuri (vedi the article)

così ho scelto di inviare il refresh_token come en cookie crittografato Sith questa classe (che si trova di ST BTW, proprio non riesce a trovare il collegamento più, mi spiace ...)

public static class StringEncryptor 
{ 
    public static string Encrypt(string plaintextValue) 
    { 
     var plaintextBytes = plaintextValue.Select(c => (byte) c).ToArray(); 
     var encryptedBytes = MachineKey.Protect(plaintextBytes); 
     return Convert.ToBase64String(encryptedBytes); 
    } 

    public static string Decrypt(string encryptedValue) 
    { 
     try 
     { 
      var encryptedBytes = Convert.FromBase64String(encryptedValue); 
      var decryptedBytes = MachineKey.Unprotect(encryptedBytes); 
      return new string(decryptedBytes.Select(b => (char)b).ToArray()); 
     } 
     catch 
     { 
      return null; 
     } 
    } 
} 

L'applicazione javascript sta ottenendo il valore dal cookie. Elimina quindi il cookie per evitare che quella cosa venga inviata più e più volte, è inutile.

Quando access_token non è più valido, invio una richiesta http al server delle applicazioni con il refresh_token crittografato. Questa è una chiamata anonima.

Il server contatta il server di identità e ottiene un nuovo token di accesso che viene rinviato a Javascript. Il awesome library ha messo in coda tutte le altre richieste, quindi quando torno con il mio nuovo token, posso dire di continuare con authService.loginConfirmed();.

L'aggiornamento è in realtà abbastanza semplice in quanto tutto ciò che dovete fare è utilizzare TokenClient da IdentityServer3.codice del metodo completi:

[HttpPost] 
    [AllowAnonymous] 
    public async Task<JsonResult> RefreshToken(string refreshToken) 
    { 
     var tokenClient = new TokenClient(IdentityServerConstants.IdentityServerUrl + "/connect/token", "my-application-id", "my-application-secret"); 
     var response = await tokenClient.RequestRefreshTokenAsync(StringEncryptor.Decrypt(refreshToken)); 

     return Json(new {response.AccessToken}); 
    } 

I commenti sono benvenuti, questo è probabilmente il modo migliore per farlo.

Answer 2

Per riferimento futuro: l'utilizzo di token di aggiornamento in un'applicazione angolare (o altra JS) non è il modo corretto in quanto un token di aggiornamento è troppo sensibile per l'archiviazione nel browser. È necessario utilizzare il rinnovo silenzioso basato sul cookie identityserver per ottenere un nuovo token di accesso. Vedi anche la libreria javascript oidc-client-js, in quanto può gestire il rinnovo silenzioso per te.