基于OpenIdDict的Implicit Flow令牌刷新问题咨询

方案1：使用静态专用刷新端点+state参数传递原地址 #

这是最合规且改动最小的方案，完全适配OpenIdDict的配置要求：

• 预先在OpenIdDict的允许redirect_uri列表中添加一个静态刷新端点，比如https://www.MyApp.com/auth/silent-refresh
• 前端触发401时，将当前动态页面的完整地址（如https://www.MyApp.com/file/123/download）存入state参数，发起隐藏iframe请求到授权端点，携带prompt=none、redirect_uri=https://www.MyApp.com/auth/silent-refresh和state参数
• 在silent-refresh页面中，接收授权返回的令牌并更新本地存储，解析state参数中的原地址后跳转回去

示例前端请求代码：

const currentUrl = window.location.href;
const authUrl = `${openIdDictAuthorizeEndpoint}?
  response_type=id_token token&
  client_id=your_client_id&
  redirect_uri=https://www.MyApp.com/auth/silent-refresh&
  prompt=none&
  state=${encodeURIComponent(currentUrl)}`;

// 创建隐藏iframe发起请求
const iframe = document.createElement('iframe');
iframe.style.display = 'none';
iframe.src = authUrl;
document.body.appendChild(iframe);

方案2：自定义OpenIdDict的redirect_uri验证逻辑 #

如果必须保留动态redirect_uri，可以扩展OpenIdDict的验证逻辑，支持通配符或前缀匹配：

• 在OpenIdDict的服务配置中，添加带通配符的允许地址，比如https://www.MyApp.com/file/*/download
• 重写OpenIdDict的授权验证逻辑，在ValidateRedirectUri步骤中，用正则表达式或前缀匹配判断请求的redirect_uri是否符合配置模式

示例后端验证代码（ASP.NET Core环境）：

public class CustomRedirectUriValidator : IOpenIdDictRedirectUriValidator
{
    private readonly IOpenIdDictRedirectUriValidator _defaultValidator;

    public CustomRedirectUriValidator(IOpenIdDictRedirectUriValidator defaultValidator)
    {
        _defaultValidator = defaultValidator;
    }

    public Task<bool> ValidateRedirectUriAsync(OpenIdDictValidationContext context)
    {
        var allowedPatterns = new List<string>
        {
            "https://www.MyApp.com/file/*/download",
            // 其他允许的模式
        };

        foreach (var pattern in allowedPatterns)
        {
            var regexPattern = "^" + Regex.Escape(pattern).Replace("\\*", ".*") + "$";
            if (Regex.IsMatch(context.Request.RedirectUri, regexPattern))
            {
                return Task.FromResult(true);
            }
        }

        // 回退到默认验证逻辑
        return _defaultValidator.ValidateRedirectUriAsync(context);
    }

    // 其他接口实现省略
}

在Startup中注册自定义验证器：

services.AddOpenIdDict()
    .AddValidation(options =>
    {
        options.RedirectUriValidator = sp => new CustomRedirectUriValidator(sp.GetRequiredService<IOpenIdDictRedirectUriValidator>());
    });

方案3：前端路由拦截统一处理 #

通过前端路由拦截401请求，先跳转到静态刷新端点，完成后返回原页面：

• 配置前端全局拦截器，捕获到401错误时，将当前动态页面地址存入本地存储（如sessionStorage.setItem('redirectAfterRefresh', currentUrl)）
• 跳转到预先配置的静态刷新页面https://www.MyApp.com/auth/silent-refresh，该页面发起iframe刷新请求
• 刷新完成后，从本地存储取出原地址并跳转

内容的提问来源于stack exchange，提问作者JamesBondCaesar