使用Strava API时如何存储刷新令牌？.NET站点持久化登录咨询

标准安全方案：服务器存令牌 + 网站会话认证 #

这是行业通用的合规方案，其实没你想的复杂：

• 完成Strava OAuth授权后，把access_token、refresh_token和过期时间存在服务器数据库里，关联到用户唯一标识（可以是网站自有用户ID，或者直接用Strava返回的athlete_id）。
• 用ASP.NET Core自带的Cookie认证维持网站登录状态：用户首次授权后，服务器给用户下发加密的会话Cookie，后续请求通过这个Cookie识别用户，再从数据库取出对应Strava令牌调用API。
• 当access_token过期时，服务器自动用refresh_token向Strava申请新令牌，全程用户无感知。
  这套流程不用自定义JWT，ASP.NET Core的Cookie认证开箱即用，几行配置就能搞定。

先解决重复授权提示：加Strava授权参数 #

你每次刷新都要确认授权，大概率是授权请求没加approval_prompt=auto参数。Strava OAuth规则里，用户已授权过你的应用时，带这个参数会自动跳过确认页面，直接返回令牌。

• 修改你的授权请求URL，追加approval_prompt=auto，同时保留所需的scope（比如activity:read）。
• 这个操作能立刻减少用户重复授权的麻烦，但还是要配合令牌存储——如果不想快速搭建用户体系，可以临时把refresh_token存在HttpOnly Cookie里（服务器设置，客户端无法读取篡改），服务器后续通过Cookie拿refresh_token刷新令牌，不用用户再授权。但长期来看，服务器端关联用户存储才是更可靠的做法。

框架集成简化方案：ASP.NET Core Identity + OAuth #

ASP.NET Core Identity自带第三方登录集成，直接把Strava配置成外部登录源就行：

• 在Identity配置里填入Strava的Client ID和Client Secret，指定授权范围。
• 用户首次登录走Strava授权后，Identity会自动把Strava令牌存在内置的AspNetUserTokens表，关联到Identity用户。
• 后续用户访问时，Identity的Cookie会话自动识别用户，你通过UserManager.GetAuthenticationTokenAsync就能拿到Strava令牌调用API，过期时框架还能自动帮你刷新令牌（只要配置好refresh_token存储）。
  完全不用自己写复杂的授权逻辑，直接用框架现成功能，比自定义JWT简单太多。

内容的提问来源于stack exchange，提问作者Manuel Prinz