IdentityServer 最佳实践何时刷新令牌

Question

我制作了一个简单的测试应用程序，它使用混合流进行身份验证。 我将刷新令牌存储为声明，因此我可以刷新令牌。

但是什么时候推荐的最佳做法是什么？

我应该在哪个事件上验证过期？还是我应该等待未经授权的事件？有这方面的例子吗？

我知道我可以在发出请求之前检查令牌的过期时间，或者我可能会等待未经授权的情况，但是是否有任何推荐的最佳实践方式在何时或在何种情况下执行此操作？

Answer 1

您通常将刷新令牌存储在一些持久性数据存储中，因为它的全部意义在于获得对 API 的长期访问。

然后，只要访问令牌有效，您就可以使用它（例如，使用它直到您从 APII 获得 401）。然后使用刷新令牌刷新令牌。