IdentityServer4实战 - AccessToken 生命周期分析

一.前言

IdentityServer4实战这个系列主要介绍一些在IdentityServer4(后文称:ids4),在实际使用过程中容易出现的问题,以及使用技巧,不定期更新,谢谢大家关注。使用过ids4的朋友应该知道,可以通过设置AccessTokenLifetime属性,来控制AccessToken的存活时间,但是细心的朋友可能会发现,Token到期了依然能通过授权,这是怎么回事呢,下面我带大家一起来揭开神秘面纱。

二.关于 ID Token 和 AccessToken

Openid Connect(后文称:OIDC)是在OAuth2.0协议上进行了扩展,OIDC=Identity+OAuth2.0,使其拥有身份认证+授权的能。它在OAuth2上构建了一个身份层,是一个基于OAuth2协议的身份认证标准协议。我们都知道OAuth2是一个授权协议,它无法提供完善的身份认证功能,OIDC使用OAuth2的授权服务器来为第三方客户端提供用户的身份认证,并把对应的身份认证信息传递给客户端,且可以适用于各种类型的客户端(比如服务端应用,移动APP,JS应用),且完全兼容OAuth2,也就是说你搭建了一个OIDC的服务后,也可以当作一个OAuth2的服务来用。应用场景如图:

OAuth2提供了Access Token来解决授权第三方客户端访问受保护资源的问题;OIDC在这个基础上提供了ID Token来解决第三方客户端标识用户身份认证的问题。OIDC的核心在于在OAuth2的授权流程中,一并提供用户的身份认证信息(ID Token)给到第三方客户端,ID Token使用JWT格式来包装,得益于JWT(JSON Web Token)的自包含性,紧凑性以及防篡改机制,使得ID Token可以安全的传递给第三方客户端程序并且容易被验证。此外还提供了UserInfo的接口,用户获取用户的更完整的信息。

简而言之ID Token就是JWT格式的数据,包含一个人类用户的身份认证的信息,一个ID Token的例子如下:

{
     "iss": "https://server.example.com",
     "sub": "24400320",
     "aud": "s6BhdRkqt3",
    "nonce": "n-0S6_WzA2Mj",
     "exp": 1311281970,
    "iat": 1311280970,
     "auth_time": 1311280969,
     "acr": "urn:mace:incommon:iap:silver"
 }

看到上面的数据是不是感觉很熟悉,这是一个我们从ids4申请的"AccessToken":

eyJhbGciOiJSUzI1NiIsImtpZCI6IjhlM2U2MWY1ZWUyZDgwMGNlYjE2NmE5NGRjODczMTY0IiwidHlwIjoiSldUIn0.eyJuYmYiOjE1MjU1Nzg3MTUsImV4cCI6MTUyNTU3ODcxNiwiaXNzIjoiaHR0cDovL2xvY2FsaG9zdDo1MDAwIiwiYXVkIjpbImh0dHA6Ly9sb2NhbGhvc3Q6NTAwMC9yZXNvdXJjZXMiLCJhcGkxIl0sImNsaWVudF9pZCI6InJvLmNsaWVudCIsInN1YiI6IjEiLCJhdXRoX3RpbWUiOjE1MjU1Nzg3MTUsImlkcCI6ImxvY2FsIiwic2NvcGUiOlsiYXBpMSJdLCJhbXIiOlsicHdkIl19.JXU4bXUqf8QD4zQz61XC2WTKURtNIVhH23zQPJzOmEtYbQvO2oRP58sCfDQxADeImZ7O0vH4YXIfL8j60B-sAYJev7c2hnjVhHTJ0t-0bUPlLs43cqNG6RarZ8FyfHyhrvIwYBpJXKNROfr6GfLb4Vdpw4ZEd4AC2k2tHuKMfyrrTzqS0oUs1RwqH7KZ1W7pXDr_V2L4PjgCqOQelXAB_V5YXzR9E52FIXnKNzCVnWHmhiTSWg-ptONOoHss1a-ElWejXskTlMBQitnxSno05s4O6vp5R8zqMuo3j57SnPZVaTuR4AUVpDdVmFF9x9k-fHuXyqarsW6YGsXgTTA2Lw

我们将上面的Token解码可以看见:

我想不用我多说,就可以看见我们的ID Token在哪里吧。

三.设置AccessToken过期时间

我们在ids端设置我们的客户端资源的时候有一个AccessTokenLifetime属性,此属性可以设置我们申请的Token的有效时间,单位是秒,默认3600秒也就是一个小时。

代码示例:

new Client
{
    ClientId = "ro.client",
    AllowedGrantTypes = GrantTypes.ResourceOwnerPassword,
    AccessTokenLifetime = 5,
    ClientSecrets = 
    {
        new Secret("secret".Sha256())
    },
    AllowedScopes = { "api1" }
}

本文所用代码,为ids4文档中,第二个QuickStart,文末会给出地址。

Client对象还包含一个IdentityTokenLifetime属性,是用来设置ID Token的存活时间,但是,我们获得AccessToken以后,访问API资源等,是用的授权,此属性无法影响AccessToken的有效期,这也是我在上面解释了ID Token和AccessToken的区别的原因,希望大家不要搞混淆了。

我们上面将AccessToken的存活时间设置为5s,我们修改客户端的代码改一下,让他暂停6s再次去访问APi资源,看看会发生什么:

我们先看看返回的AccessToken信息里,过期时间已经变成了5s:

看看暂停之后的结果:

可以看到,本来Token应该过期无法访问的,但是还是成功访问API获取到了信息:

这是怎么回事呢,和我们想的有点不一样,请听下节分解!

四.时间偏移(ClockSkew )

有这样的场景,如果你的AccessToken还有5s过期,这时你通过这个AccessToken去访问API资源,但是这时网络堵塞,可能请求10s才到达目标,那这时怎么办?如果需要保持所持有的AccessToken一直有效,是否需要提前刷新或者再次申请AccessToken?如果你本地的时间和API资源服务的时间具有时间差异可能是几秒,几十秒等等,那么你该如何判断你所持有的AccessToken的有效性?

上述的这些问题,都是我们将时间理想化了,所以当我们的API资源受到请求根据AccessToken进行验证的时候,会有一个时间偏移,通俗的讲就是将AccessToken的逻辑过期时间往后推迟了,这个时间默认是5分钟。比如我们的AccessToken应该在2018年5月6日16:50:55过期,那么实际上在API资源进行验证的时候,容忍在过期时间后的五分钟以内,此AccessToken依然是有效的,即在API资源验证时,此AccessToken的真正过期时间为2018年5月6日16:55:55,这个时间差就是用来解决上述问题的。这也是为什么上面我们将AccessToken设置5s过期,但实际上5s之后还能用它成功访问API。

此设置是针对于JWT的,这里需要注意。

五.设置时间偏移

1.获取默认过期时间

默认过期时间我们可以通过JwtBearerOptions对象的TokenValidationParameters属性的ClockSkew属性来获取。

可以看见默认的时间偏移为5分钟,那么如何来自定义这个值呢。

2.设置时间偏移

我们可以通过IdentityServerAuthenticationOptions对象提供JwtValidationClockSkew属性来自定义时间偏移,这个设置是在API资源的,因为当我们请求API资源的时候,是API资源自行进行验证的。

代码如下:

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvcCore()
        .AddAuthorization()
        .AddJsonFormatters();
    services.AddAuthentication("Bearer")
        .AddIdentityServerAuthentication(options =>
        {
            options.Authority = "http://localhost:5000";
            options.RequireHttpsMetadata = false;
            options.JwtValidationClockSkew = TimeSpan.FromSeconds(0);
            options.ApiName = "api1";
        });
}

我们通过options.JwtValidationClockSkew = TimeSpan.FromSeconds(0);将这个时间偏移设置为了0s,那么我们现在再运行我们前面的程序,设置AccessToken过期时间为5s,我们暂停6s,会发生什么。

可以看到提示“Unauthorized”,可以看到现在的情况和我们前面所想的情况一致了。这就是时间偏移的作用。

六.写在最后

在实际生产环境中,一定要尽量保持各个服务,各个节点的时间同步,使用标准时间。然后这个时间偏移如没有特殊需求不建议去更改它,这个就是这样设计的,官方也是不推荐去更改它。如果设置过短可能引起文章说的问题哦。欢迎大家加入QQ群(4656606)和我一起交流,写本文也是群里许多朋友问过这个问题,以前一直没注意,今天才算解开了它的秘密。

本文所用代码下载:

https://github.com/stulzq/IdentityServer4.Samples/tree/master/Practice/02_AccessTokenLifetime

参考资料:

posted @ 2018-05-07 08:03 晓晨Master 阅读(...) 评论(...) 编辑 收藏