默认1小时ID Token生命周期需匹配认证Cookie有效期？Blazor Server技术疑问

1. ID Token不用于授权却需刷新，是否矛盾？ #

不矛盾。ID Token的核心是身份断言凭证，用来向应用确认用户的身份合法性、基本属性（如姓名、租户信息），而非用于API访问授权（授权用Access Token）。

ID Token过期后，应用需要重新验证用户的身份状态（比如用户是否被AAD禁用、密码是否变更），因此必须获取新的ID Token来维持合法会话，这是保障应用安全的必要流程，和授权场景的需求完全不冲突。

2. ID Token生命周期是否要与认证Cookie过期时间匹配？ #

建议保持两者生命周期一致。Web应用的用户会话通常由认证Cookie维护，将其与ID Token的生命周期对齐后，可通过调整ID Token有效期统一控制会话过期频率，避免出现Cookie有效但ID Token已失效的状态不一致问题，简化会话管理逻辑。

3. Blazor Server + AAD场景下，是否需要每小时重定向到身份提供商？ #

不需要。ASP.NET Core的Microsoft Identity认证中间件会自动处理静默刷新：当ID Token临近过期时，中间件会借助之前获取的Refresh Token（需提前配置offline_access权限）在后台向AAD申请新的ID Token和Access Token，全程无需用户交互或重定向到登录页。

只有当Refresh Token失效（如长期未使用、用户主动注销），或应用未配置静默刷新权限时，才会触发重定向到AAD的身份验证流程。

内容的提问来源于stack exchange，提问作者Liero