ASP.NET Core中 JWT 实现无感刷新Token

在 Web 应用开发中,用户登录状态的管理至关重要。为了避免用户频繁遇到登录过期的问题,我们可以通过实现 JWT(JSON Web Token)刷新机制来提升用户体验

推荐: 使用 Refresh Token(双 Token 机制)

1. 生成和使用双 Token

通常会生成两种 Token:访问 Token (Access Token)刷新 Token (Refresh Token)

  • 访问 Token:用于客户端与服务器之间的身份验证,有效期较短(例如 30 分钟),以提高安全性。

  • 刷新 Token:用于获取新的访问 Token,有效期较长(例如 7 天),存储在客户端 。

Tokenservice.cs:

复制代码
// 生成 JWT Access Token 和 Refresh Token
public (string AccessToken, string RefreshToken) GenerateTokens(string userId, string userName)
{
    var tokenHandler = new JwtSecurityTokenHandler();
    var key = Encoding.ASCII.GetBytes(_configuration["JwtSettings:Secret"]);

    // 生成 Access Token
    var accessTokenDescriptor = new SecurityTokenDescriptor
    {
        Subject = new ClaimsIdentity(new Claim[]
        {
        new Claim(ClaimTypes.NameIdentifier, userId),
        new Claim(ClaimTypes.Name, userName)
        }),
        Issuer = _configuration["JwtSettings:Issuer"],
        Audience = _configuration["JwtSettings:Audience"],
        Expires = DateTime.UtcNow.AddMinutes(double.Parse(_configuration["JwtSettings:ExpireMinutes"])),
        SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)
    };
    var accessToken = tokenHandler.CreateToken(accessTokenDescriptor);

    // 生成 Refresh Token
    var refreshTokenDescriptor = new SecurityTokenDescriptor
    {
        Subject = new ClaimsIdentity(new Claim[]
        {
        new Claim(ClaimTypes.NameIdentifier, userId)
        }),
        Issuer = _configuration["JwtSettings:Issuer"],
        Audience = _configuration["JwtSettings:Audience"],
        Expires = DateTime.UtcNow.AddDays(7), // Refresh Token 有效期 7 天
        SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)
    };
    var refreshToken = tokenHandler.CreateToken(refreshTokenDescriptor);

    return (tokenHandler.WriteToken(accessToken), tokenHandler.WriteToken(refreshToken));
}

    // 根据旧 JWT 令牌换取新 JWT 令牌
    public string ExchangeJwtToken(string oldToken)
    {
        if (!ValidateJwtToken(oldToken))
        {
            thrownew InvalidOperationException("Invalid or expired token");
        }

        var principal = ParseJwtToken(oldToken);
        var userId = principal.FindFirst(ClaimTypes.NameIdentifier)?.Value;
        var userName = principal.FindFirst(ClaimTypes.Name)?.Value;

        if (string.IsNullOrEmpty(userId) || string.IsNullOrEmpty(userName))
        {
            thrownew InvalidOperationException("Invalid token claims");
        }

        return GenerateJwtToken(userId, userName);
    }

AuthController.cs

复制代码
private readonly TokenService _tokenService;
privatereadonly IAppUser _appUser;

public AuthController(IConfiguration configuration, IAppUser appUser, TokenService tokenService)
{
    _tokenService = tokenService;
    _appUser = appUser;
}

[HttpPost("login")]
[AllowAnonymous]
public IActionResult Login([FromBody] LoginRequest loginRequest)
{
    var token = _tokenService.GenerateTokens(loginRequest.Username, loginRequest.Username);
    return Ok(new { token.RefreshToken,token.AccessToken });
}

2. 前端请求拦截器自动刷新 Token

在前端应用中,可以使用请求拦截器来自动处理 Token 刷新逻辑。当访问 Token 过期时,拦截器会自动调用刷新接口获取新的访问 Token,并重新发起请求

复制代码
//  请求拦截器
axios.interceptors.request.use(
config => {
    const token = localStorage.getItem('accessToken');
    if (token) {
      config.headers['Authorization'] = `Bearer ${token}`;
    }
    return config;
  },
error => {
    returnPromise.reject(error);
  }
);

axios.interceptors.response.use(
response => response,
async error => {
    const originalRequest = error.config;
    if (error.response.status === 401 && !originalRequest._retry) {
      originalRequest._retry = true;
      const refreshToken = localStorage.getItem('refreshToken');
      const res = await axios.post('/api/auth/refresh-token', { refreshToken });
      localStorage.setItem('accessToken', res.data.accessToken);
      returnaxios(originalRequest);
    }
    returnPromise.reject(error);
  }
);

3. 后端提供刷新 Token 的接口

专门的接口来处理刷新 Token 的请求。该接口会验证刷新 Token 的有效性,并返回新的访问 Token

复制代码
 // 刷新 Access Token
[HttpPost("refresh")]
public IActionResult RefreshToken([FromBody] RefreshTokenRequest request)
{
    try
    {
        var validatetoken = _tokenService.ValidateJwtToken(request.RefreshToken);
        if (validatetoken)
        {
            return Ok(_tokenService.ExchangeJwtToken(request.RefreshToken));
        }
        return Unauthorized("Invalid refresh token");
    }
    catch (Exception ex)
    {
        return Unauthorized("Invalid refresh token");
    }
}

不推荐:中间件自动刷新Token

    1. 创建中间件:创建一个中间件,用于检查每个请求的JWT Token过期时间。
    1. 读取Token:中间件读取请求头中的Authorization字段,获取JWT Token。
    1. 检查过期时间:判断Token的过期时间,如果距离过期时间在一定范围内(如30分钟内),则生成一个新的JWT Token,并通过自定义的响应头(如X-Refresh-Token)返回给客户端。
    1. 客户端更新Token:客户端检查响应头,如果存在X-Refresh-Token,则用新Token替换旧Token,并在后续请求中使用新Token。
    1. 弊端:虽然实现起来相对简单,但安全性相对较低,因为Token的刷新是在客户端自动进行的,如果Token被盗用,攻击者可能会在Token过期前一直使用该Token

因为存在上述弊端,不推荐使用中间件自动刷新 Token,故不提供相关代码实现。

相关推荐
向阳2565 分钟前
SpringBoot+vue前后端分离整合sa-token(无cookie登录态 & 详细的登录流程)
java·vue.js·spring boot·后端·sa-token·springboot·登录流程
你的人类朋友19 分钟前
JS严格模式,启动!
javascript·后端·node.js
Aurora_NeAr20 分钟前
深入理解Java虚拟机-Java内存区域与内存溢出异常
后端
风象南22 分钟前
SpringBoot实现数据库读写分离的3种方案
java·spring boot·后端
lzj201423 分钟前
DataPermissionInterceptor源码解读
后端
ChinaRainbowSea38 分钟前
3. RabbitMQ 的(Hello World) 和 RabbitMQ 的(Work Queues)工作队列
java·分布式·后端·rabbitmq·ruby·java-rabbitmq
dleei1 小时前
MySql安装及SQL语句
数据库·后端·mysql
CryptoPP1 小时前
springboot 对接马来西亚数据源API等多个国家的数据源
spring boot·后端·python·金融·区块链
Source.Liu1 小时前
【学Rust写CAD】27 双线性插值函数(bilinear_interpolation.rs)
后端·rust·cad
yinhezhanshen1 小时前
理解rust里面的copy和clone
开发语言·后端·rust