JwtSecurityToken 不会过期

Question

我目前在 System.IdentityModels.Tokens 命名空间中使用 JwtSecurityToken 类。我使用以下内容创建了一个令牌：

DateTime expires = DateTime.UtcNow.AddSeconds(10);
JwtSecurityTokenHandler handler = new JwtSecurityTokenHandler();
var genericIdentity = new System.Security.Principal.GenericIdentity(username, "TokenAuth");

ClaimsIdentity identity = new ClaimsIdentity(claims);
string secret = ConfigurationManager.AppSettings["jwtSecret"].ToString();
var securityKey = new     InMemorySymmetricSecurityKey(Encoding.Default.GetBytes(secret));
var signingCreds = new SigningCredentials(securityKey,     SecurityAlgorithms.HmacSha256Signature, SecurityAlgorithms.HmacSha256Signature);
var securityToken = handler.CreateToken(
    issuer: issuer,
    audience: ConfigurationManager.AppSettings["UiUrl"].ToString(),
    signingCredentials: signingCreds,
    subject: identity,
    expires: expires,
    notBefore: DateTime.UtcNow
);
return handler.WriteToken(securityToken); 

由于某种原因，即使将 expires 设置为当前时间之后的 10 秒，在验证令牌时它实际上不会引发异常，直到大约 5 分钟。看到这里，我想可能是最小过期时间为 5 分钟，所以我将过期时间设置为：

DateTime.UtcNow.AddMinutes(5);

然后它在 10 分钟过期，但异常消息说过期时间设置为应有的时间（用户登录后 5 分钟），当它在异常中显示当前时间时它是过期时间后 5 分钟。因此，它似乎知道它应该何时过期，但实际上直到过期时间后 5 分钟才抛出异常。然后，由于令牌似乎在我将其设置为过期的任何时间上增加了 5 分钟，因此我将过期时间设置为：

DateTime.UtcNow.AddMinutes(-5).AddSecond(10);

我对此进行了测试，到目前为止它还没有过期（十多分钟后）。有人可以解释为什么会发生这种情况以及我做错了什么吗？此外，如果您在我提供的代码中看到任何其他内容，我们将不胜感激，因为我是使用 JWT 和这个库的新手。

Answer 1

我也刚刚实现了一个 JWT 令牌中间件，虽然互联网上的示例使用 UtcNow，但我必须使用 Now 否则过期时间已关闭。当我使用Now 时，到期就在眼前。

Answer 2

LifeTimeValidator 似乎存在一些问题。您可以使用自定义委托覆盖其逻辑。此外，使用 JwtBearerOptions 类来控制身份验证中间件行为。例如：

new JwtBearerOptions
{
     AutomaticAuthenticate = true,
     AutomaticChallenge = true,
     TokenValidationParameters = new Microsoft.IdentityModel.Tokens.TokenValidationParameters
     {
           ValidIssuer = _configuration["Tokens:Issuer"],
           ValidAudience = _configuration["Tokens:Audience"],
           ValidateIssuer = true,
           ValidateAudience = true,
           ValidateLifetime = true,
           LifetimeValidator = LifetimeValidator,
           ValidateIssuerSigningKey = true,
           IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Tokens:Key"]))
      }
}

并分配LifetimeValidotor委托，提供自己的超时验证逻辑：

private bool LifetimeValidator(DateTime? notBefore, DateTime? expires, SecurityToken token, TokenValidationParameters @params)
{
     if (expires != null)
     {
          return expires > DateTime.UtcNow;
     }
     return false;
}

Answer 3

阅读@Denis Kucherov 的回答后，我发现我可以使用他发布的同一个自定义验证器，而无需使用需要我添加新库的 JwtBearerOptions 类。

另外，由于有两个命名空间包含许多相同的类，我将确保提到所有这些都使用 System.IdentityModels... 命名空间。 （不是 Microsoft.IdentityModels...）

下面是我最终使用的代码：

private bool CustomLifetimeValidator(DateTime? notBefore, DateTime? expires, SecurityToken tokenToValidate, TokenValidationParameters @param)
{
    if (expires != null)
    {
        return expires > DateTime.UtcNow;
    }
    return false;
}
private JwtSecurityToken ValidateJwtToken(string tokenString)
{
   string secret = ConfigurationManager.AppSettings["jwtSecret"].ToString();
   var securityKey = new InMemorySymmetricSecurityKey(Encoding.Default.GetBytes(secret));
   JwtSecurityTokenHandler handler = new JwtSecurityTokenHandler();
   TokenValidationParameters validation = new TokenValidationParameters()
   {
       ValidAudience = "MyAudience",
       ValidIssuer = "MyIssuer",
       ValidateIssuer = true,
       ValidateLifetime = true,
       LifetimeValidator = CustomLifetimeValidator,
       RequireExpirationTime = true,
       IssuerSigningKey = securityKey,
       ValidateIssuerSigningKey = true,
   };
   SecurityToken token;
   ClaimsPrincipal principal = handler.ValidateToken(tokenString, validation, out token);
   return (JwtSecurityToken)token;
}

Answer 4

问题与ClockSkew有关。通常，验证库（至少是 MS 库）会补偿时钟偏差。 ClockSkew 默认值为 5 分钟。查看一些答案here

你可以把ClockSkew改成TokenValidationParameters：

var tokenValidationParameters = new TokenValidationParameters
{
    //...your setting

    // set ClockSkew is zero
    ClockSkew = TimeSpan.Zero
};

app.UseJwtBearerAuthentication(new JwtBearerOptions
{
    AutomaticAuthenticate = true,
    AutomaticChallenge = true,
    TokenValidationParameters = tokenValidationParameters
});

编码愉快！

Answer 5

下面的链接给你确切的答案，因为默认情况下 MS 的过期时间为 5 分钟。 所以要么你必须定制它，要么你会付出时间 过期：DateTime.Now.AddSeconds(30) 上述行中的 30 秒将添加到过期时间中。所以总过期时间为 5 分 30 秒

https://github.com/IdentityServer/IdentityServer3/issues/1251

希望这会有所帮助。

Answer 6

.NET Core 更新

这在 .NET Core 中的处理方式略有不同，因为 TokenValidationParameters 使用 ConfigureServices() 方法在 Startup.cs 中设置，然后由中间件自动处理。

还要注意旧的InMemorySymmetricSecurityKey 用于签署秘密is now deprecated 支持SymmetricSecurityKey，如下所示。

public void ConfigureServices(IServiceCollection services)
{
    // ...

    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidateAudience = true,
                ValidateLifetime = true,
                ValidateIssuerSigningKey = true,
                ValidIssuer = _config.AuthenticationSettings.TokenAuthority,
                ValidAudience = _config.AuthenticationSettings.TokenAuthority,
                LifetimeValidator = TokenLifetimeValidator.Validate,
                IssuerSigningKey = new SymmetricSecurityKey(
                    Encoding.UTF8.GetBytes(_config.AuthenticationSettings.SecurityKey))
            };
        });

    // ...
}

因此我还在@tkd_aj 的answer above 中制作了自己的令牌验证器版本，并将其放入静态类中：

public static class TokenLifetimeValidator
{
    public static bool Validate(
        DateTime? notBefore,
        DateTime? expires,
        SecurityToken tokenToValidate,
        TokenValidationParameters @param
    ) {
        return (expires != null && expires > DateTime.UtcNow);
    }
}