IdentityServer4实战 - AccessToken 生命周期分析

一.前言

IdentityServer4实战这个系列主要介绍一些在IdentityServer4(后文称:ids4),在实际使用过程中容易出现的问题,以及使用技巧,不定期更新,谢谢大家关注。使用过ids4的朋友应该知道,可以通过设置AccessTokenLifetime属性,来控制AccessToken的存活时间,但是细心的朋友可能会发现,Token到期了依然能通过授权,这是怎么回事呢,下面我带大家一起来揭开神秘面纱。

二.关于 ID Token 和 AccessToken

Openid Connect(后文称:OIDC)是在OAuth2.0协议上进行了扩展,IODC=Identity+OAuth2.0,使其拥有身份认证+授权的能。它在OAuth2上构建了一个身份层,是一个基于OAuth2协议的身份认证标准协议。我们都知道OAuth2是一个授权协议,它无法提供完善的身份认证功能,OIDC使用OAuth2的授权服务器来为第三方客户端提供用户的身份认证,并把对应的身份认证信息传递给客户端,且可以适用于各种类型的客户端(比如服务端应用,移动APP,JS应用),且完全兼容OAuth2,也就是说你搭建了一个OIDC的服务后,也可以当作一个OAuth2的服务来用。应用场景如图:

OAuth2提供了Access Token来解决授权第三方客户端访问受保护资源的问题;OIDC在这个基础上提供了ID Token来解决第三方客户端标识用户身份认证的问题。OIDC的核心在于在OAuth2的授权流程中,一并提供用户的身份认证信息(ID Token)给到第三方客户端,ID Token使用JWT格式来包装,得益于JWT(JSON Web Token)的自包含性,紧凑性以及防篡改机制,使得ID Token可以安全的传递给第三方客户端程序并且容易被验证。此外还提供了UserInfo的接口,用户获取用户的更完整的信息。

简而言之ID Token就是JWT格式的数据,包含一个人类用户的身份认证的信息,一个ID Token的例子如下:

{
     "iss": "https://server.example.com",
     "sub": "24400320",
     "aud": "s6BhdRkqt3",
    "nonce": "n-0S6_WzA2Mj",
     "exp": 1311281970,
    "iat": 1311280970,
     "auth_time": 1311280969,
     "acr": "urn:mace:incommon:iap:silver"
 }

看到上面的数据是不是感觉很熟悉,这是一个我们从ids4申请的"AccessToken":

eyJhbGciOiJSUzI1NiIsImtpZCI6IjhlM2U2MWY1ZWUyZDgwMGNlYjE2NmE5NGRjODczMTY0IiwidHlwIjoiSldUIn0.eyJuYmYiOjE1MjU1Nzg3MTUsImV4cCI6MTUyNTU3ODcxNiwiaXNzIjoiaHR0cDovL2xvY2FsaG9zdDo1MDAwIiwiYXVkIjpbImh0dHA6Ly9sb2NhbGhvc3Q6NTAwMC9yZXNvdXJjZXMiLCJhcGkxIl0sImNsaWVudF9pZCI6InJvLmNsaWVudCIsInN1YiI6IjEiLCJhdXRoX3RpbWUiOjE1MjU1Nzg3MTUsImlkcCI6ImxvY2FsIiwic2NvcGUiOlsiYXBpMSJdLCJhbXIiOlsicHdkIl19.JXU4bXUqf8QD4zQz61XC2WTKURtNIVhH23zQPJzOmEtYbQvO2oRP58sCfDQxADeImZ7O0vH4YXIfL8j60B-sAYJev7c2hnjVhHTJ0t-0bUPlLs43cqNG6RarZ8FyfHyhrvIwYBpJXKNROfr6GfLb4Vdpw4ZEd4AC2k2tHuKMfyrrTzqS0oUs1RwqH7KZ1W7pXDr_V2L4PjgCqOQelXAB_V5YXzR9E52FIXnKNzCVnWHmhiTSWg-ptONOoHss1a-ElWejXskTlMBQitnxSno05s4O6vp5R8zqMuo3j57SnPZVaTuR4AUVpDdVmFF9x9k-fHuXyqarsW6YGsXgTTA2Lw

我们将上面的Token解码可以看见:

我想不用我多说,就可以看见我们的ID Token在哪里吧。

三.设置AccessToken过期时间

我们在ids端设置我们的客户端资源的时候有一个AccessTokenLifetime属性,此属性可以设置我们申请的Token的有效时间,单位是秒,默认3600秒也就是一个小时。

代码示例:

new Client
{
    ClientId = "ro.client",
    AllowedGrantTypes = GrantTypes.ResourceOwnerPassword,
    AccessTokenLifetime = 5,
    ClientSecrets = 
    {
        new Secret("secret".Sha256())
    },
    AllowedScopes = { "api1" }
}

本文所用代码,为ids4文档中,第二个QuickStart,文末会给出地址。

Client对象还包含一个IdentityTokenLifetime属性,是用来设置ID Token的存活时间,但是,我们获得AccessToken以后,访问API资源等,是用的授权,此属性无法影响AccessToken的有效期,这也是我在上面解释了ID Token和AccessToken的区别的原因,希望大家不要搞混淆了。

我们上面将AccessToken的存活时间设置为5s,我们修改客户端的代码改一下,让他暂停6s再次去访问APi资源,看看会发生什么:

我们先看看返回的AccessToken信息里,过期时间已经变成了5s:

看看暂停之后的结果:

可以看到,本来Token应该过期无法访问的,但是还是成功访问API获取到了信息:

这是怎么回事呢,和我们想的有点不一样,请听下节分解!

四.时间偏移(ClockSkew )

有这样的场景,如果你的AccessToken还有5s过期,这时你通过这个AccessToken去访问API资源,但是这时网络堵塞,可能请求10s才到达目标,那这时怎么办?如果需要保持所持有的AccessToken一直有效,是否需要提前刷新或者再次申请AccessToken?如果你本地的时间和API资源服务的时间具有时间差异可能是几秒,几十秒等等,那么你该如何判断你所持有的AccessToken的有效性?

上述的这些问题,都是我们将时间理想化了,所以当我们的API资源受到请求根据AccessToken进行验证的时候,会有一个时间偏移,通俗的讲就是将AccessToken的逻辑过期时间往后推迟了,这个时间默认是5分钟。比如我们的AccessToken应该在2018年5月6日16:50:55过期,那么实际上在API资源进行验证的时候,容忍在过期时间后的五分钟以内,此AccessToken依然是有效的,即在API资源验证时,此AccessToken的真正过期时间为2018年5月6日16:55:55,这个时间差就是用来解决上述问题的。这也是为什么上面我们将AccessToken设置5s过期,但实际上5s之后还能用它成功访问API。

此设置是针对于JWT的,这里需要注意。

五.设置时间偏移

1.获取默认过期时间

默认过期时间我们可以通过JwtBearerOptions对象的TokenValidationParameters属性的ClockSkew属性来获取。

可以看见默认的时间偏移为5分钟,那么如何来自定义这个值呢。

2.设置时间偏移

我们可以通过IdentityServerAuthenticationOptions对象提供JwtValidationClockSkew属性来自定义时间偏移,这个设置是在API资源的,因为当我们请求API资源的时候,是API资源自行进行验证的。

代码如下:

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvcCore()
        .AddAuthorization()
        .AddJsonFormatters();
    services.AddAuthentication("Bearer")
        .AddIdentityServerAuthentication(options =>
        {
            options.Authority = "http://localhost:5000";
            options.RequireHttpsMetadata = false;
            options.JwtValidationClockSkew = TimeSpan.FromSeconds(0);
            options.ApiName = "api1";
        });
}

我们通过options.JwtValidationClockSkew = TimeSpan.FromSeconds(0);将这个时间偏移设置为了0s,那么我们现在再运行我们前面的程序,设置AccessToken过期时间为5s,我们暂停6s,会发生什么。

可以看到提示“Unauthorized”,可以看到现在的情况和我们前面所想的情况一致了。这就是时间偏移的作用。

六.写在最后

在实际生产环境中,一定要尽量保持各个服务,各个节点的时间同步,使用标准时间。然后这个时间偏移如没有特殊需求不建议去更改它,这个就是这样设计的,官方也是不推荐去更改它。如果设置过短可能引起文章说的问题哦。欢迎大家加入QQ群(4656606)和我一起交流,写本文也是群里许多朋友问过这个问题,以前一直没注意,今天才算解开了它的秘密。

本文所用代码下载:

https://github.com/stulzq/IdentityServer4.Samples/tree/master/Practice/02_AccessTokenLifetime

参考资料:

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏iOS开发随笔

20161216微信支付 全程配置

972
来自专栏Java成神之路

Web 通信 之 长连接、长轮询(long polling)

基于HTTP的长连接,是一种通过长轮询方式实现"服务器推"的技术,它弥补了HTTP简单的请求应答模式的不足,极大地增强了程序的实时性和交互性。

1223
来自专栏思考的代码世界

Python网络数据采集之开始采集|第02天

网络爬虫是可以根据递归方式。为了找到URL 链接,它们必须首先获取网页内容,检查这个页面的内容,再寻找另一个 URL,然后获取 URL对应的网页内容,不断循环这...

3938
来自专栏思考的代码世界

Python网络数据采集之创建爬虫|第02天

1213
来自专栏GreenLeaves

Web性能优化之雅虎军规

相信互联网已经越来越成为人们生活中不可或缺的一部分。Ajax,flex等等富客户端的应用使得人们越加“幸福”地体验着许多原先只能在C/S实 现的功能。 比如Go...

17910
来自专栏WeTest质量开放平台团队的专栏

Web 前端性能优化 : 如何有效提升静态文件的加载速度

腾讯 WeTest 压测大师对包含 Web,H5 等页面准备了针对性的方案,解决了多数压测人员Web页面压测的问题。此文总结了笔者在 Web 静态资源方面的一些...

9270
来自专栏Python中文社区

一个多线程知乎用户爬虫的实现

專 欄 ❈默然,Python中文社区专栏作者。 博客:https://www.zhihu.com/people/moranzcw GitHub:https:/...

2235
来自专栏Python中文社区

反爬虫机制和破解方法汇总

什么是爬虫和反爬虫? 爬虫:使用任何技术手段,批量获取网站信息的一种方式。 反爬虫:使用任何技术手段,阻止别人批量获取自己网站信息的一种方式。 ? 常见的反...

8469
来自专栏刘望舒

有关Android插件化思考

最近几年移动开发业界兴起了「 插件化技术 」的旋风,各个大厂都推出了自己的插件化框架,各种开源框架都评价自身功能优越性,令人目不暇接。随着公司业务快速发展,项目...

601
来自专栏IMWeb前端团队

浅析YSlow-23条规则

本文作者:IMWeb 孙世吉 原文出处:IMWeb社区 未经同意,禁止转载 起因 起初想要去了解如何提高网页加载性能,发现Yahoo发布的一款基于Fi...

1837

扫码关注云+社区