更改密码时如何使 OAuth 令牌无效？

Question

我们在带有SimpleAuthorizationServerProvider 的 Web Api 项目中使用 ASP.NET Identity，我们使用 OAuth-tokens 来授权来自客户端的每个请求。 （令牌具有和过期时间跨度，我们不使用刷新令牌。）

当用户更改密码时，我想使他们可能拥有的令牌无效，可能在其他设备上。有没有办法明确地做到这一点？我进行了实验，发现现有令牌在更改密码后可以正常工作，应该避免这种情况。

我考虑过将密码哈希或部分哈希放入 OAuth 令牌中作为声明，并在派生的 AuthorizeAttribute 过滤器的 OnAuthorization 方法中对其进行验证。
这是解决问题的正确方法吗？

Answer 1

我的方法基于泰泽尔的建议。解决方案的要点如下。每次用户更改密码（以及注册时）时，都会生成一个新的 GUID，并将其保存在数据库的 User 表中。我将此 GUID 称为 密码戳，并将其存储在名为 LatestPasswordStamp 的属性中。

必须将此标记作为声明的一部分作为令牌的一部分发送给客户端。这可以通过OAuthAuthorizationServerProvider-implementation 的GrantResourceOwnerCredentials 方法中的以下代码来实现。

identity.AddClaim( new Claim( "PasswordTokenClaim", user.LatestPasswordStamp.ToString() ) );

这个标记将在每个请求中从客户端发送到服务器，并且验证该标记在数据库中没有被更改。如果是，则意味着用户更改了密码，可能来自另一台设备。验证是在我们的自定义授权过滤器中完成的。

public class AuthorizeAndCheckStampAttribute : AuthorizeAttribute
{
    public override void OnAuthorization( HttpActionContext actionContext )
    {
        var claimsIdentity = actionContext.RequestContext.Principal.Identity as ClaimsIdentity;
        if( claimsIdentity == null )
        {
            this.HandleUnauthorizedRequest( actionContext );
        }

        // Check if the password has been changed. If it was, this token should be not accepted any more.
        // We generate a GUID stamp upon registration and every password change, and put it in every token issued.
        var passwordTokenClaim = claimsIdentity.Claims.FirstOrDefault( c => c.Type == "PasswordTokenClaim" );

        if( passwordTokenClaim == null )
        {
            // There was no stamp in the token.
            this.HandleUnauthorizedRequest( actionContext );
        }
        else
        {
            MyContext ctx = (MyContext)System.Web.Mvc.DependencyResolver.Current.GetService( typeof( MyContext ) );

            var userName = claimsIdentity.Claims.First( c => c.Type == ClaimTypes.Name ).Value;

            if( ctx.Users.First( u => u.UserName == userName ).LatestPasswordStamp.ToString() != passwordTokenClaim.Value )
            {
                // The stamp has been changed in the DB.
                this.HandleUnauthorizedRequest( actionContext );
            }
        }

        base.OnAuthorization( actionContext );
    }
}

这样，如果客户端尝试使用在密码更改之前颁发的令牌授权自己，则会收到授权错误。

Answer 2

我不建议将密码的哈希作为声明，并且我相信在更改密码时没有直接的方法使令牌无效。

但是，如果您可以通过从客户端应用程序发送到受保护的 API 端点的每个请求来访问数据库，那么您需要为授予资源所有者请求的每个令牌存储令牌标识符（可能是 Guid）。然后您将令牌标识符分配为此令牌的自定义声明，之后您需要通过查找令牌标识符和资源所有者的用户名来检查每个请求的此表。

更改密码后，您将删除此资源所有者（用户）的此令牌标识符记录，并且下次从客户端发送的令牌将被拒绝，因为此令牌标识符和资源所有者的记录已被删除。