Katana OAuthAuthorizationServer刷新令牌的使用寿命

Question

在源代码沙箱was服务器上，刷新令牌如下所示：

RefreshTokenProvider = new AuthenticationTokenProvider
{
    OnCreate = CreateRefreshToken,
    OnReceive = ReceiveRefreshToken,
}

private void CreateRefreshToken(AuthenticationTokenCreateContext context)
{
    context.SetToken(context.SerializeTicket());
}

private void ReceiveRefreshToken(AuthenticationTokenReceiveContext context)
{
    context.DeserializeTicket(context.Token);
}

这将创建与访问令牌具有相同生存期的刷新令牌。

刷新令牌的合适生存期是什么，向OAuthAuthorizationServer告知的建议方法是什么。它没有任何选项，我想知道是否应该在上面的createRefreshToken上下文中更改它。

Answer 1

刷新令牌的适当生存期是什么？

这完全取决于用例。RefreshToken生存期可以基于应用程序的需求。Google oAuth有“刷新令牌在用户撤销访问之前是有效的”。

向OAuthAuthorizationServer说明这一点的建议是什么？

是的，你这样做是对的。您可以在上下文中将其设置为Tiken。

private void CreateRefreshToken(AuthenticationTokenCreateContext context)
{
    context.Ticket.Properties.ExpiresUtc = new DateTimeOffset(DateTime.Now.AddMonths(2));
    context.SetToken(context.SerializeTicket());
}