如何在grails spring security rest应用程序上15分钟后过期刷新令牌

Question

我们正在一个 Grails 3.2.12 项目中使用 Spring Security Core(3.0.0) 和 Spring Security Rest 插件 (2.0.0.M2) 进行用户授权和访问控制。

现在，我们需要实现一种方法，在系统处于非活动状态 15 分钟后使用户访问过期。

项目配置为在登录15分钟后访问令牌过期，刷新令牌进程处于非活动状态，因此，用户需要重新登录。

问题是refresh token默认是永不过期的，如果我们实现refresh token的过程，用户访问永不过期。

我们计划的解决方案是什么：我们将访问令牌的过期时间更改为5分钟，并为刷新令牌创建一个15分钟的过期时间。

有什么方法可以为 grails spring security rest 插件上的刷新令牌创建过期时间？

Answer 1

有趣的是，我刚刚在 Slack 上就这个问题给出了一些建议： 通过查看代码，您至少必须覆盖这三个类的功能：

https://github.com/alvarosanchez/grails-spring-security-rest/blob/ffa848c9c6dd82f92f2ab489cb5d7a1515c587f2/spring-security-rest/grails-app/controllers/grails/plugin/springsecurity/rest/RestOauthController.groovy#L137

https://github.com/alvarosanchez/grails-spring-security-rest/blob/develop/spring-security-rest/src/main/groovy/grails/plugin/springsecurity/rest/token/storage/jwt/JwtTokenStorageService.groovy#L52

https://github.com/alvarosanchez/grails-spring-security-rest/blob/ffa848c9c6dd82f92f2ab489cb5d7a1515c587f2/spring-security-rest/src/main/groovy/grails/plugin/springsecurity/rest/token/generation/jwt/AbstractJwtTokenGenerator.groovy#L113

似乎它区分刷新令牌的方式是它没有过期，所以你必须想出一个替代机制。祝你好运...