MVC WebAPI 主动认证

Question

我正在编写多个客户端应用程序（iPhone/android/windows 手机），它们将调用 Azure ACS 安全的 mvc webapi 控制器（对不起，缩写词汤）。

使用 WIF（嗯，.net 4.5）保护 webapi 很简单，我可以毫无问题地被动登录。

我还创建了一个 POC iPhone 应用程序，它使用 Web 浏览器让用户针对 azure AD IP 进行身份验证，然后使用指南 here 我可以获得一个 javascript 令牌。

现在我想下一步是在 web 控制器上使用JSON Web Token Handler，我应该能够很好地提取数据。

但是，我可以将令牌存储多长时间？我应该尝试 webapi 端点，如果它被拒绝，让用户重新进行身份验证，还是无论如何设置令牌使其永不过期，或者几个月后过期？

谢谢

罗斯

Answer 1

AFAIK，ACS 将 JWT 令牌的生命周期限制为 24 小时（这不是 JWT 约束 - 它是 ACS 约束）；之后你必须更新它。长时间存储安全令牌通常不是一个好主意，因为用户可能被停用或她的声明可能已更改。 您可以通过查看安全令牌的“exp”成员来了解令牌何时到期。您将从 ACS 收到的安全令牌是 BASE64 编码的。如果有 2 到 3 个部分，用点分隔。如果您解码令牌，则令牌的第二部分将为您提供“exp”成员。 Microsoft 在以下位置提供了适用于 ios 的工具包 https://github.com/WindowsAzure-Toolkits/wa-toolkit-ios。 （也有安卓等工具包）。