过期后刷新令牌吊销

Question

我在“刷新令牌”过期后撤销它时遇到问题。我有一个标准表“OpenIddict Tokens”，其中 openiddict 存储令牌。在我配置 OpenIddict 的 Startup 类中，我设置了：

.SetRefreshTokenLifetime(TimeSpan.FromSeconds(1)) // It is just for check revocation of token 

从/connect/token 收到令牌后，我立即尝试刷新我的令牌。我收到“指定的刷新令牌不再有效”错误，我注意到在数据库中仍然有关于过期刷新令牌的注释。

它应该保留在那里还是应该从数据库中删除？

Answer 1

只有access token 可以使用refresh token 刷新。在实践中，刷新令牌是长期存在的，因为它代表资源所有者授予客户端的授权。并且过期/列入黑名单的刷新令牌意味着客户端访问被撤销。

换句话说，如果客户端的刷新令牌过期，它必须再次进行身份验证并接收一对新的访问/刷新令牌才能访问资源。