问题标签 [refresh-token]

在 onedrive 令牌到期前 5 分钟刷新时，它给出了以下错误。{ "error": "invalid_grant", "error_description": "用户无法通过身份验证或授权已过期。用户必须先登录，并在需要时授予客户端应用程序对请求范围的访问权限。" }

我在数据库中存储访问令牌和刷新令牌。这可能是什么机会。提前致谢。

我通过初始登录获得了一个 JWT 令牌，该令牌设置为在 60 分钟内到期。我想更新这个令牌，这样用户就不会被注销。

为此，我正在使用该AcquireTokenAsync60 分钟窗口内的呼叫UserAssertion

是不是只有在令牌过期后才能使用带有现有 JWT 令牌的上述调用？

任何输入表示赞赏。

在我的应用程序中，当用户成功登录时，我会返回一个访问令牌和一个刷新令牌。访问令牌和刷新令牌的过期时间分别设置为 10 分钟和 40 分钟。（我应该对这些值做更多的研究。这只是为了测试）

我使用了以下文章中描述的实现

http://www.svlada.com/jwt-token-authentication-with-spring-boot/

假设我在登录 10 分钟后向服务器调用请求。由于访问令牌已过期，我收到 401 错误响应。

但是，作为初学者，我很难理解是否需要显式发送刷新令牌才能获得新的访问令牌。如果我应该这样做，该怎么做？我应该以什么形式发送刷新令牌？标题？

或者，当我的请求由于访问令牌过期而被服务器拒绝时，刷新令牌本身是否应该自动向服务器发送请求以获取新的访问令牌？

我发现很难从我在网上找到的资源中理解刷新令牌行为的性质。请就这些问题向我澄清。

我正在阅读有关刷新令牌的信息：https ://auth0.com/learn/refresh-tokens/ 。我正在自己构建一个身份验证服务器 (AS)。

要从电子邮件/密码身份验证中获取刷新令牌，客户端应用程序会发送 4 条信息：

• 客户编号
• 客户密码
• 用户电子邮件
• 用户密码

我的问题是：AS 如何将客户端 ID 和密码传递给客户端应用程序？

我的第一个想法：密码是预先随机生成并在每个客户端应用程序中硬编码的吗？那为什么需要客户端ID呢？

我的第二个想法：第一次启动的客户端应用程序点击 AS 获取其客户端 ID/密码，并使用这对获取所有未来的刷新令牌。但它并不安全，因为任何黑客都可以攻击同一个端点。

帮助表示赞赏。

我尝试了 Stack Exchange 上提供的许多解决方案来获取刷新令牌，但都失败了。下面是我的整个控制器。如您所见，我已经包含了 $client->setAccessType('offline') 和 $client->setApprovalPrompt('force')。

此外，我已经多次运行撤销令牌，并且我已经进入我的 Google 帐户（https://myaccount.google.com/permissions），并删除了访问权限。当我进行新授权时，这些尝试都没有为我提供刷新令牌。

刷新令牌的到期时间是多少？如果与刷新令牌一起使用，我可以获得新令牌吗？如果是，刷新令牌是否有时间限制。

我在 IdentityServer4 中请求新的刷新令牌时遇到了一些问题。身份验证后的某个时间，我从我的 API 收到未经授权的响应，好的，但是当我尝试请求新的刷新令牌时，我从服务器获得了一个 invalid_grant。我确保设置了offline_access，但仍然遇到问题。这是我的代码：

服务器 Config.cs 中的我的客户端

我的 MVCclient 的 Startup.cs

在这里我得到了 invalid_grant

tokenResult 被分配了 invalid_grant。我错过了什么吗？

我有一个 ionic 2 应用程序，它使用访问令牌对 API 进行身份验证。如果访问令牌过期，可以使用刷新令牌将其交换为新的访问令牌。

有一个函数处理返回承诺的 API 调用。如果 API 调用最初成功，则 Promise 会解析。如果返回 401（未授权）错误，我想进行另一个 API 调用，该调用使用刷新令牌来获取新的访问令牌。然后，应该使用新的访问令牌再次尝试原始 API 调用，并在收到数据时解析或在出现错误时拒绝。

我目前的功能按我的意愿工作。但是，这个函数很难阅读。我想知道如何重构它以使其更小且更具可读性。

我很好奇是否可以重置从服务器中的移动端或前端生成的用户会话。

我的朋友正在从事 iOS 开发，但他最终很难使重置会话功能。作为一种解决方法，我在想的是（如果它是非常危险和不安全的方法......）他将发送一个刷新令牌并生成新令牌。新的代币将反馈到手机。

但是，这不起作用。我面临的错误是“无效的刷新令牌”。我猜是因为它是从移动端生成的，所以无法在其他来源生成令牌，在这种情况下是服务器。

AWS方面是否阻止了这种方法？谢谢。

我目前正在使用以下代码重新抛出从我的 API 返回 401 的请求：

这适用于 1 个请求，但如果我从单个页面返回两个 401，例如当页面加载两个 api 调用以填充不同部分时，它似乎不起作用。如何让我的拦截器重新抛出多个延迟调用？

另外，拦截器不应该为每个 401 单独触发吗？不理想，它会导致单个页面上的多次刷新调用，但由于调用未被重新抛出而导致丢失数据的改进。

截屏：