Question

我正在开发一个移动应用程序，我意识到我的令牌持续时间有限。我正在使用Symfony服务器，它具有刷新令牌的功能：

/**
 * @Route("/api/refresh", name="api_refresh")
 */
public function refreshTokenAction(Request $request)
{
    if(!$request->headers->has('Authorization')) {
        return;
    }

    $extractor = new AuthorizationHeaderTokenExtractor(
        'Bearer',
        'Authorization'
    );

    $token = $extractor->extract($request);

    $encoder = $this->get('lexik_jwt_authentication.encoder');

    $data = $encoder->decode($token);

    if(!$data){
        return;
    }

    $username = $data['mail'];

    $user = $this->getDoctrine()->getRepository('AppBundle:Benevole')
        ->findOneBy(['mail' => $username]);

    $token = $this->get('lexik_jwt_authentication.encoder')
        ->encode(['mail' => $user->getMail()]);

    // Return genereted tocken
    return new JsonResponse(['token' => $token]);

}

我将此服务器与AngularJS中的应用程序一起使用，我以这种方式调用我的服务器：

var refreshToken = function(idPatient){
    var token = window.localStorage.getItem('token'); // current valid token
    return $http({
           method  : 'GET',
           url     : url + '/refresh',
           headers : {Authorization : 'Bearer ' + token},
       }).then(function(result) {
        console.log(result.data);
        return result.data;
    });
};

当我测试我的函数刷新令牌时，单击一个按钮，它会工作，令牌会刷新。

我想知道如何自动刷新我的令牌，以便用户不必每次都断开连接，因为它相当严格^^ 我应该每次检查我的令牌吗？我应该为应用程序提供几个条件来每次都找到它吗？

Answer 1

您应该接受仅有效（和未过期）令牌以进行更新。假设客户有责任在exp声明中指明的到期日期之前刷新令牌。

您可以调用该函数定期刷新令牌，同时在页面中使用该用户。

为避免令牌被无限期刷新，您可以通过向令牌添加两个声明来保留令牌更新的跟踪（声明名称取决于您）：

refreshLimit：表示可以刷新令牌的次数。
refreshCount：表示令牌已刷新的次数。

因此，只有在满足以下条件时才刷新令牌：

令牌未过期（exp >= now）。
令牌刷新的次数少于令牌可刷新的次数（refreshCount < refreshLimit）。

刷新令牌时：

更新到期日期（exp = now + some-amount-of-time）。
增加令牌刷新的次数（refreshCount++）。

签署令牌并在服务器端验证签名后，客户端的内容不会被篡改。

已过期JWT令牌 - 如何刷新令牌

1 个答案: