ASP.NET OAuth：解決refresh token無法重新整理access token的問題

標籤：

最近同事用iOS App調用Open API時遇到一個問題：在access token到期後，用refresh token重新整理access token時，伺服器響應"invalid_grant"錯誤；而在access token沒有到期的情況下，能正常重新整理access token。

先查看了一下OAuth規範中的“Refreshing an Expired Access Token”流程圖，以確認用戶端的操作流程有沒有問題。

問題發生在中的(G)操作步驟。iOS App就是按的流程進行操作的——在調用Open API時，如果伺服器響應access token無效，就用refresh token重新整理access token，用戶端的操作流程一點問題沒有。

於是將問題鎖定在服務端。打點寫日誌，發現refresh token重新整理access token時服務端先調用了IAuthenticationTokenProvider.ReceiveAsync()，然後調用了IOAuthAuthorizationServerProvider.GrantRefreshToken()方法。對應於我們的實現就是CNBlogsRefreshTokenProvider.ReceiveAsync()與CNBlogsAuthorizationServerProvider.GrantRefreshToken()。

查看ReceiveAsync()方法的實現代碼：

public override async Task ReceiveAsync(AuthenticationTokenReceiveContext context){    var refreshToken = await _refreshTokenService.Get(context.Token);    if (refreshToken != null)    {        context.DeserializeTicket(refreshToken.ProtectedTicket);                        await _refreshTokenService.Remove(context.Token);    }}

從上面的代碼可以得知，用refresh token重新整理access token，實際就是將儲存在資料庫中的ProtectedTicket反序列為包含access token的ticket，然後根據這個ticket產生access token返回給用戶端。而refreshToken.ProtectedTicket是在產生refresh token時由包含access token的ticket序列化產生的，refresh token無法重新整理access token，問題很可能就出在它身上。

於是查看產生refresh token部分的代碼——CNBlogsRefreshTokenProvider（繼承自AuthenticationTokenProvider）的CreateAsync()方法：

var refreshToken = new RefreshToken(){    Id = refreshTokenId,    ClientId = new Guid(clientId),    UserName = context.Ticket.Identity.Name    IssuedUtc = DateTime.UtcNow,    ExpiresUtc = DateTime.UtcNow.AddSeconds(Convert.ToDouble(refreshTokenLifeTime)),    ProtectedTicket = context.SerializeTicket()};context.Ticket.Properties.IssuedUtc = refreshToken.IssuedUtc;context.Ticket.Properties.ExpiresUtc = refreshToken.ExpiresUtc;

當時一看代碼，立馬恍然大悟。應該是先設定IssuedUtc與ExpiresUtc，然後再SerializeTicket()；實際被寫成了先SerializeTicket()，後設定IssuedUtc與ExpiresUtc。結果造成refreshToken.ProtectedTicket的到期時間不正確，從而無法重新整理access token。

解決方案很簡單，只需將context.SerializeTicket()移至設定Ticket的IssuedUtc與ExpiresUtc的代碼之後：

var refreshToken = new RefreshToken(){    Id = refreshTokenId,    ClientId = new Guid(clientId),    UserName = context.Ticket.Identity.Name    IssuedUtc = DateTime.UtcNow,    ExpiresUtc = DateTime.UtcNow.AddSeconds(Convert.ToDouble(refreshTokenLifeTime)),    };context.Ticket.Properties.IssuedUtc = refreshToken.IssuedUtc;context.Ticket.Properties.ExpiresUtc = refreshToken.ExpiresUtc;refreshToken.ProtectedTicket = context.SerializeTicket();

ASP.NET OAuth：解決refresh token無法重新整理access token的問題