Duende IdentityServer多客户端登录状态不一致问题求助

1. 强制客户端实现自动令牌刷新逻辑 #

所有客户端必须在令牌过期前主动触发刷新流程，不能等到令牌失效后才处理：

• 对于code+PKCE或混合流客户端，解析id_token的exp字段监听有效期，在过期前5-10分钟，使用refresh_token向IdentityServer请求新的id_token、access_token和新的refresh_token。
• 客户端每次发起API请求前，先检查当前令牌的剩余有效期，若不足则先完成刷新再调用API。

2. 联动客户端会话与IdentityServer主会话 #

• 客户端的会话Cookie滑动过期要和IdentityServer的主会话生命周期绑定：客户端在用户有交互时（比如页面刷新、按钮点击），除了更新自身会话Cookie的过期时间，还要触发一次静默授权请求（prompt=none）。这个请求会携带IdentityServer的会话Cookie，触发其滑动过期，确保主会话不会因单个客户端无操作而失效。
• 在IdentityServer中启用会话同步：配置IdentityServerOptions时开启EnableSessionToken，同时确保客户端使用UseIdentityServer中间件时设置SaveTokens = true，让客户端能持久化令牌以方便刷新。

3. 优化登录状态判断逻辑 #

客户端不能仅靠本地存储的令牌是否有效来判断登录状态：

• 页面加载时，先发起静默授权请求（response_type=code，prompt=none），若请求成功，说明用户在IdentityServer侧仍处于登录状态，此时即使本地令牌过期，也能获取新令牌并维持登录。
• 若静默请求返回login_required，再引导用户重新登录。

4. 调整令牌有效期配置（可选） #

• 可将id_token的有效期调整为与refresh_token一致（比如30分钟），减少因id_token过期导致的登录状态误判；或保持现有20分钟，但确保客户端在id_token过期前1-2分钟就触发刷新流程。
• 确保refresh_token的滑动过期配置正确：在IdentityServer的客户端配置中设置RefreshTokenUsage = TokenUsage.ReUse或TokenUsage.OneTimeOnly（根据安全需求选择），并开启RefreshTokenExpiration = TokenExpiration.Sliding，让每次刷新令牌时，refresh_token的有效期自动重置。

内容的提问来源于stack exchange，提问作者Rob