So erhalten Sie ein neues Zugriffstoken in OpenID Connect/OAuth2 Impliziter Datenfluss

Question

Ich verwende derzeit OpenID Connect/Oauth2 Impliziter Fluss in einer mobilen App. Ich richte eine Webansicht für den Benutzer ein, um sich einzuloggen und das Zugriffstoken und Ablaufdatum zu erhalten. Wenn das Zugriffstoken jedoch abläuft, muss ich den Benutzer bitten, sich erneut anzumelden? Oder gibt es eine Möglichkeit, ein neues Zugriffstoken automatisch mit dem aktuellen zu erhalten, ohne den Benutzer abzufragen. Ich denke, eine andere Option ist, den Token-Ablauf auf eine wirklich lange Zeit zu setzen, aber ich habe gelesen, dass dies eine schlechte Idee ist.

Fehle ich hier etwas?

Answer 1

Da der implizite Fluss kein Aktualisierungstoken sendet (wie in section 9 von RFC6746 erläutert), ist die Verwendung von Aktualisierungstoken nicht möglich. Aber als Workaround kann man client credential grant verwenden, um ein Zugriffs-Token zu erhalten.

Eine praktikable Lösung besteht darin, zuerst dem impliziten Fluss zu folgen und den Client zu authentifizieren. Dann Client-Authentifizierung gewähren kann verwendet werden, um die erforderlichen API-Aufrufe zu tun.

Musterbestellung (von RFC6749)

POST /token HTTP/1.1 
Host: server.example.com 
Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW 
Content-Type: application/x-www-form-urlencoded 

rant_type=client_credentials 

Probe resposne (von RFC6749)

HTTP/1.1 200 OK 
Content-Type: application/json;charset=UTF-8 
Cache-Control: no-store 
Pragma: no-cache 

{ 
    "access_token":"2YotnFZFEjr1zCsicMWpAA", 
    "token_type":"example", 
    "expires_in":3600, 
    "example_parameter":"example_value" 
} 

PS - Wenn Sie mit Autorisierungscode Fluss, können Sie refresh_token, um ein neues Zugriffstoken zu erhalten. Wie die Anfrage erstellt werden soll, ist erhältlich unter OAuth2 documentation. Beachten Sie, dass Ihre Autorisierungsantwort zu diesem Zweck ein `refresh_token 'enthalten sollte.

Ein Aktualisierungstoken sollte so geschützt sein, wie ein Berechtigungsnachweis für einen Benutzer. Mehr aus keycloak Dokumentation von here

Musterbestellung und eine Antwort (von RFC6749)

Anfrage

POST /token HTTP/1.1 
Host: server.example.com 
Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW 
Content-Type: application/x-www-form-urlencoded 

grant_type=refresh_token&refresh_token=tGzv3JOkF0XG5Qx2TlKWIA 

Antwort

HTTP/1.1 200 OK 
Content-Type: application/json 
Cache-Control: no-store 
Pragma: no-cache 

{ 
    "access_token": "TlBN45jURg", 
    "token_type": "Bearer", 
    "refresh_token": "9yNOxJtZa5", 
    "expires_in": 3600 
} 

Answer 2

Die empfohlene Methode ist die Verwendung eines externen Browsers und des Autorisierungscodeflusses. Überprüfen Sie die OAuth 2.0 for Native Apps RFC. Für Android gibt es auch eine unterstützende Bibliothek AppAuth. Mit diesem Ablauf können Sie ein Aktualisierungstoken verwenden, um ein neues Zugriffstoken zu erhalten, aber es gibt ein Problem mit einem geheimen Client (normalerweise für den Zugriff/Tokenendpunkt erforderlich), da Sie es in einer mobilen App nicht sicher aufbewahren können der RFC).

Wenn Sie mit dem WebView und dem impliziten Fluss bleiben entscheiden, was nicht sicher ist (Ihre Anwendung kann das Passwort sehen) Sie die gleiche Technik wie in JavaScript-Anwendungen nutzen könnten - fordern Sie ein neues Token mit /auth?...&prompt=none URL, die zurückkehren ein neues Token, ohne den Benutzer nach Anmeldeinformationen zu fragen, wenn er dort noch eine offene Sitzung hat.