删除刷新令牌

Question

我已经在 Vittorio 的博客上发布了两次关于此的评论 http://blogs.msdn.com/b/vbertocci/archive/2015/08/13/adal-3-didnt-return-refresh-tokens-for-5-months-and-nobody-noticed.aspx，但它从未出现在 cmets 中，所以我将其添加在这里。

我们有一个特定场景，我们在没有交互式用户的 Windows 服务上下文中使用 RT，会话信息可能会意外启动和停止，并且开发可分发的自定义是不可行的ADAL 缓存机制。 RT 是合乎逻辑的选择，这似乎是您在此处的其他 cmets 中看到的场景类型。 ADAL 今天并没有很好地解决这个问题，RT 可以，而且我还没有看到任何删除它们的商业理由 - 只是为了保留它们。删除 RT 将对使用此解决方案的大约 100 多名客户产生不利影响。如果您在 ADAL 中有另一个可行的解决方案，我们很乐意使用它，但如果没有，那么出于某种协议纯粹主义原因删除 RT 将是一个大问题。

Answer 1

您使用的博客只是一个转发器，过去~2 年的帖子应该清楚地说明了这一点。实际帖子位于 www.cloudidentity.com。 RT 不会因为任何“协议纯粹主义原因”而被删除，尤其是因为从协议的角度来看，绝对没有发生任何变化——这只是库是否透明地使用 RT，还是您的代码使用的问题。您链接到的帖子提供了导致该决定的具体可用性和功能原因。 我不明白你提出的担忧。无论您今天使用何种机制来共享和/或持久化 RT，您都可以使用缓存来执行完全相同的操作 - 它可以像每个服务的平面文件一样简单，如果这让您不需要做任何分发的事情紧张的。此外，您描述的拓扑并不严格依赖刷新令牌 - 如果您将客户端建模为机密客户端，这意味着您拥有可以随时交换访问令牌的凭据，而刷新令牌意味着在保留撤销权限的同时不一直提示用户的机制。客户端凭据将遵循完全不同的撤销路径，因此人们不得不想知道为什么您首先还要担心刷新令牌。 最后：这种变化发生在 ADAL v3 中。没有什么能阻止您继续使用 ADAL v2，这就是我们在引入重大更改时使用主要版本的原因。