Обновление токенов и MicrosoftIdentityWebApp

Итак, в конце концов мы решили эту проблему, используя следующий подход:

1. В OnRedirectToIdentityProvider для решения проблем, перечисленных в пункте 1 обновления, мы добавили следующий код. Я до сих пор не совсем понимаю, зачем нам это нужно было, но, похоже, другого способа сделать правильный 302-редирект на authorize не было.

var defaultPolicy = _configuration.GetValue<string>($"{_policySectionName}");
if (!context.Properties.Items.TryGetValue("policy", out var policy) ||
    policy.Equals(defaultPolicy))
{
    var clientId = _configuration.GetValue<string>($"{_clientIdSectionName}");
    context.ProtocolMessage.ResponseType = OpenIdConnectResponseType.CodeIdTokenToken;
    context.ProtocolMessage.Scope += $" {clientId}";
}

2. В OnAuthorizationCodeReceived мы добавили следующий код, чтобы получить refresh_token:

var data = new Dictionary<string, string>()
        {
            { "grant_type", _authorizationCodeTypeName},
            { "client_id", context.TokenEndpointRequest.ClientId },
            { "client_secret", context.TokenEndpointRequest.ClientSecret },
            { "code", context.TokenEndpointRequest.Code },
            { "redirect_uri", context.TokenEndpointRequest.RedirectUri },
            { "code_verifier", context.TokenEndpointRequest.Parameters["code_verifier"] }
        };

var instance = _configuration.GetValue<string>($"{_instanceSectionName}");
var domain = _configuration.GetValue<string>($"{_domainSectionName}");
var policy = _configuration.GetValue<string>($"{_policySectionName}");
var tokenUrl = $"{instance}/{domain}/{policy}/{_tokenPath}";

var refreshTokenRequest = new HttpRequestMessage(HttpMethod.Post, tokenUrl)
{
    Content = new FormUrlEncodedContent(data)
};

var response = await _client.SendAsync(refreshTokenRequest);

if (response.IsSuccessStatusCode)
{
    var retVal = await response.Content.ReadFromJsonAsync<RefreshTokenResponse>();

    if (retVal?.AccessToken != null && retVal?.RefreshToken != null && retVal?.IdToken != null)
    {
        identity.AddClaims(new List<Claim> {
            new(_accessTokenClaimName, retVal.AccessToken),
            new(_refreshTokenClaimName, retVal.RefreshToken)
        });

        if (context.Properties != null)
        {
            var accessToken = new JwtSecurityToken(retVal.AccessToken);

            context.Properties.IsPersistent = true;
            context.Properties.ExpiresUtc = accessToken.ValidTo;
        }

        context.HandleCodeRedemption(retVal.AccessToken, retVal.IdToken);
    }
}

3. В пользовательском ActionFilterAttribute мы добавили следующий код для обновления токена:

var accessTokenClaim = claimsIdentity.FindFirst(Constants.Authentication.AccessTokenClaimName);

if (accessTokenClaim != null)
{
    var jwt = new JwtSecurityToken(accessTokenClaim.Value);

    if (jwt.ValidTo < DateTime.UtcNow)
    {
        var refreshTokenClaim = claimsIdentity.FindFirst(Constants.Authentication.RefreshTokenClaimName);

        if (refreshTokenClaim != null)
        {
            var configuration = _configuration.Value;

            var data = new Dictionary<string, string>()
                    {
                        { "grant_type", Constants.Authentication.RefreshTokenTypeName},
                        { "client_id", configuration.GetValue<string>($"{Constants.Authentication.AzureAdB2cSectionName}:{Constants.Authentication.ClientIdSectionName}") },
                        { "client_secret", configuration.GetValue<string>($"{Constants.Authentication.AzureAdB2cSectionName}:{Constants.Authentication.ClientSecretSectionName}") },
                        { Constants.Authentication.RefreshTokenTypeName, refreshTokenClaim.Value }
                    };

            var instance = configuration.GetValue<string>($"{Constants.Authentication.AzureAdB2cSectionName}:{Constants.Authentication.InstanceSectionName}");
            var domain = configuration.GetValue<string>($"{Constants.Authentication.AzureAdB2cSectionName}:{Constants.Authentication.DomainSectionName}");
            var policy = configuration.GetValue<string>($"{Constants.Authentication.AzureAdB2cSectionName}:{Constants.Authentication.SignUpSignInPolicyIdSectionName}");
            var tokenUrl = $"{instance}/{domain}/{policy}/{Constants.Authentication.TokenEndpointPath}";

            var refreshTokenRequest = new HttpRequestMessage(HttpMethod.Post, tokenUrl)
            {
                Content = new FormUrlEncodedContent(data)
            };

            try
            {
                var response = await _client.SendAsync(refreshTokenRequest);

                if (response.IsSuccessStatusCode)
                {
                    var retVal = await response.Content.ReadFromJsonAsync<RefreshTokenResponse>();

                    if (retVal?.AccessToken != null && retVal?.RefreshToken != null)
                    {
                        claimsIdentity.RemoveClaim(accessTokenClaim);
                        claimsIdentity.RemoveClaim(refreshTokenClaim);
                        claimsIdentity.AddClaim(new(Constants.Authentication.AccessTokenClaimName, retVal.AccessToken));
                        claimsIdentity.AddClaim(new(Constants.Authentication.RefreshTokenClaimName, retVal.RefreshToken));
                    }
                    else
                        context.Result = logoutRedirect;
                }
                else
                    context.Result = logoutRedirect;
            }
            catch (Exception)
            {
                context.Result = logoutRedirect;
            }
        }
        else
            context.Result = logoutRedirect;
    }
}

ОБНОВЛЯТЬ

Хорошо, мы провели небольшое тестирование, и, к сожалению, это не совсем решило проблему. Хотя мы смогли получить новый токен обновления, нам не удалось обновить субъект утверждений/идентификатор утверждений с помощью этого подхода. Мы перепробовали кучу всего, в том числе пытались использовать SignInAsync, но ничего не помогло. В конце концов нам пришлось вместо этого разделить это на две половины.

1. Что касается токена обновления, вместо того, чтобы хранить его как утверждение, мы сохраняем токен обновления в виде файла cookie. Всякий раз, когда пользователь просматривает сайт, мы проверяем, аутентифицирован ли его IPrincipal, и, если да, мы проверяем, не истек ли срок действия его токена доступа. Если да, мы вызываем конечную точку /token, используя токен обновления, и получаем новый токен обновления и токен доступа.
2. Изначально IPrincipal выходит из системы из-за неактивности. Когда это происходит, если есть токен обновления, мы удаляем токен обновления и принудительно выходим из системы, чтобы очистить все остальные оставшиеся части.