IdentityServer BestPractice 何时刷新令牌

Question

我做了一个简单的测试应用程序，它使用混合流来验证。 我将刷新令牌存储为声明，因此我能够刷新令牌。

但是推荐的最佳做法是什么时候这样做？

我应该在哪个事件上验证到期？还是我应该等待未经授权的事件？有这方面的例子吗？

我知道我可以在发出请求之前检查令牌的过期时间，或者我可能会等待未经授权的请求，但是是否有任何建议的最佳实践方法何时或在何种情况下执行此操作？

Answer 1

您通常将刷新令牌存储在一些持久性数据存储中，因为它的全部意义在于获得对 API.

的长期访问权限

然后，只要访问令牌有效，您就可以使用它（例如，使用它直到您从 APII 获得 401）。然后使用刷新令牌刷新令牌。