ABP.io(v7.4.1)Token刷新机制及OpenIddict相关技术疑问

操作背景 #

我刚开始使用ABP.io（v7.4.1），操作步骤如下：

• 使用命令 abp new MyProject -u blazor -csf --separate-auth-server 创建新解决方案
• 注释所有依赖于 AbpCachingStackExchangeRedisModule 和 AbpDistributedLockingModule 的 DependsOn 属性，实现无Redis运行项目
• 修改默认Token生命周期配置：

PreConfigure<OpenIddictServerBuilder>(builder =>
{
    builder.SetAccessTokenLifetime(TimeSpan.FromSeconds(15))
           .SetIdentityTokenLifetime(TimeSpan.FromSeconds(15));
});

疑问列表 #

运行项目并注册用户后，产生三个疑问：

• 登录（注册或登出后）时为何会向认证服务器发送 /connect/token 和 /connect/userinfo 两个请求，是否必要？
• Token过期后未出现401错误或跳转至登录页，而是自动发送新请求保持登录，但 /token 响应及 [OpenIddictTokens] 表中均无刷新Token，ABP或OpenIddict是如何处理的？是否需要编写刷新Token相关代码？
• 是否有OpenIddict模块定制的详细教程或文档？

问题解答 #

1. 两个请求的必要性说明 #

• /connect/token：这是OAuth2/OpenID Connect的标准流程步骤，客户端登录成功后必须通过这个端点获取访问令牌（Access Token）、身份令牌（Identity Token）等核心凭证，没有该请求就无法获得访问后端接口的权限，属于必须请求。
• /connect/userinfo：该端点用于获取当前登录用户的基础信息（如用户名、邮箱），ABP Blazor客户端会用这些数据填充用户会话上下文、展示前端用户信息。这是ABP框架默认集成的逻辑，用来完善用户身份数据，正常场景下是必要的，除非你自定义了用户信息的获取逻辑。

2. Token自动续期的处理逻辑 #

ABP Blazor客户端默认采用静默授权刷新机制，基于OpenIddict的授权码流（Authorization Code Flow）+ PKCE模式实现。

这个过程不需要显式的刷新Token：当令牌即将过期时，客户端会通过隐藏iframe向认证服务器发起prompt=none的静默授权请求，认证服务器会检查用户是否存在有效的登录会话（通过会话Cookie），若会话有效则直接返回新的令牌。因此你不会在/token响应或[OpenIddictTokens]表中看到刷新Token记录。

这种自动续期是ABP与OpenIddict默认集成的功能，无需额外编写刷新Token相关代码，只要项目默认配置未被破坏，就会自动处理。若需关闭该机制，可修改Blazor客户端的OpenID Connect配置，调整RefreshTokenMode或禁用静默刷新。

3. OpenIddict模块定制的文档资源 #

ABP官方文档包含OpenIddict模块的完整定制指南，覆盖模块配置、扩展点开发、自定义令牌颁发逻辑、授权流程调整等内容；OpenIddict官方文档则可作为底层机制的补充参考。你可以在ABP官方文档中搜索「OpenIddict」关键词找到对应章节，内容从基础配置到高级定制都有覆盖，能满足日常开发的定制需求。

内容的提问来源于stack exchange，提问作者ABS