Azure 移动应用，授权有效，但令牌过期无效

Question

我正在使用自定义身份验证并生成 JWT 令牌。

当我发布到任何服务时，任何授权属性说 [Authorize(Roles = "Admin")] 都会受到尊重，并且没有此角色的用户会收到授权错误（很好！）。这向我强调了令牌生成和回发工作！

但是，当令牌过期时，什么都不会发生。它被视为有效令牌，而我应该得到某种异常，我的代码是这样的：

app.UseAppServiceAuthentication(new AppServiceAuthenticationOptions()
{
    SigningKey = ConfigurationManager.AppSettings["authSigningKey"],
    ValidAudiences = new[] { ConfigurationManager.AppSettings["authAudience"] },
    ValidIssuers = new[] { ConfigurationManager.AppSettings["authIssuer"] },
    TokenHandler = config.GetAppServiceTokenHandler()
});

还有：

JwtSecurityToken token = AppServiceLoginHandler.CreateToken(
new Claim[] { new 
Claim(JwtRegisteredClaimNames.Sub, assertion["username"]) },
                mySigningKey,
                myAppURL,
                myAppURL,
                // Setting very short time to test expiration
                TimeSpan.FromSeconds(10));

我正在本地进行测试，我预计会向客户端发送一个错误，说明令牌已过期。我做错了什么？

Answer 1

当令牌过期时，不会直接发生任何事情。当您第一次尝试使用该令牌时，对于使用 [Authorize] 属性的任何端点，您应该会收到 401 Unauthorized 错误。那是因为您提交的令牌不再有效。

Answer 2

有一个 5 分钟的到期宽限期来解决时钟偏差问题。我猜您是在 10 秒后但 5 分钟宽限期到期之前的某个时间发送此令牌。尝试等待超过 5 分钟以确认令牌是否已过期。