ASP.NET MVC集成Azure B2C时ID令牌自动刷新问题咨询

1. 当前解决方案的合理性分析 #

合理之处 #

• 核心思路正确：在授权失败时尝试通过刷新令牌获取新ID令牌，符合"自动刷新、无需重登"的需求
• 安全配置到位：设置了Cookie的Secure和HttpOnly属性，降低了XSS和中间人攻击风险
• 令牌请求参数基本合规：调用Azure B2C令牌端点时，grant_type、scope等参数符合OAuth 2.0刷新令牌的规范要求

待优化/不合理点 #

• 异步代码同步阻塞：TokenService.RefreshIdToken中用Task.Run().Wait()强制同步执行异步HTTP请求，会导致线程池阻塞，影响应用性能和吞吐量，应该改为异步实现
• 异常处理缺失：刷新令牌失败时直接抛出无信息的Exception，无法区分"刷新令牌过期"、"客户端凭证错误"等具体场景，也无法引导用户正确处理（比如刷新令牌失效时应跳转到登录页）
• 未更新刷新令牌：Azure B2C在返回新ID令牌时通常会附带新的刷新令牌，现有代码仅更新ID令牌Cookie，未同步更新刷新令牌Cookie，会导致后续刷新请求使用旧令牌，最终触发失效错误
• ID令牌未验证：获取新ID令牌后直接存入Cookie，未验证令牌的签名、有效期、受众（aud）等核心字段，存在伪造令牌的安全风险
• 过滤器触发逻辑不精准：HandleUnauthorizedRequest会在所有授权失败场景触发（比如用户权限不足），此时尝试刷新令牌毫无意义，需要先判断是ID令牌过期导致的未授权，再执行刷新逻辑

2. 刷新后重定向至原URL并继续执行的实现方法 #

刷新令牌并更新Cookie后，需要让原请求重新执行，具体步骤如下：

实现逻辑 #

1. 记录原请求的完整URL：通过filterContext.HttpContext.Request.Url获取用户发起的原始请求地址
2. 重定向到原URL：将filterContext.Result设置为RedirectResult，指向原始URL，让请求重新触发授权验证（此时新的ID令牌已存入Cookie，授权会通过）
3. 处理POST请求特殊情况：如果原请求是POST，直接重定向会丢失请求体数据，可通过TempData暂存POST参数，或在前端通过AJAX处理刷新后自动重试请求

优化后的代码示例 #

异步授权过滤器（替代同步实现）

public class AzureB2CAuthorizeAttribute : AuthorizeAttribute
{
    protected override async Task HandleUnauthorizedRequestAsync(AuthorizationContext filterContext)
    {
        var refreshTokenCookie = filterContext.HttpContext.Request.Cookies["msal.refreshtoken"];
        if (refreshTokenCookie != null && !string.IsNullOrEmpty(refreshTokenCookie.Value))
        {
            try
            {
                var tokenResponse = await TokenService.RefreshTokensAsync(refreshTokenCookie.Value);
                
                // 更新ID令牌Cookie
                var idTokenCookie = new HttpCookie("msal.idtoken", tokenResponse.IdToken)
                {
                    Secure = true,
                    HttpOnly = true,
                    Expires = DateTime.UtcNow.AddMinutes(60) // 匹配ID令牌有效期
                };
                filterContext.HttpContext.Response.Cookies.Set(idTokenCookie);

                // 更新刷新令牌Cookie（Azure B2C可能返回新的刷新令牌）
                var refreshTokenNewCookie = new HttpCookie("msal.refreshtoken", tokenResponse.RefreshToken)
                {
                    Secure = true,
                    HttpOnly = true,
                    Expires = DateTime.UtcNow.AddDays(7) // 匹配刷新令牌有效期
                };
                filterContext.HttpContext.Response.Cookies.Set(refreshTokenNewCookie);

                // 重定向到原请求URL
                var originalUrl = filterContext.HttpContext.Request.Url.ToString();
                filterContext.Result = new RedirectResult(originalUrl);
                return;
            }
            catch (Exception ex)
            {
                // 刷新失败（比如刷新令牌过期），跳转到登录页
                filterContext.Result = new RedirectResult("/Account/Login?returnUrl=" + 
                    Uri.EscapeDataString(filterContext.HttpContext.Request.Url.ToString()));
                return;
            }
        }

        // 无有效刷新令牌，直接跳转到登录页
        filterContext.Result = new RedirectResult("/Account/Login?returnUrl=" + 
            Uri.EscapeDataString(filterContext.HttpContext.Request.Url.ToString()));
    }
}

优化后的TokenService（异步+完整响应处理）

public static class TokenService
{
    public class TokenResponse
    {
        public string IdToken { get; set; }
        public string RefreshToken { get; set; }
        public int ExpiresIn { get; set; }
    }

    public static async Task<TokenResponse> RefreshTokensAsync(string refreshToken)
    {
        var policyName = ConfigurationManager.AppSettings["ida:SignUpSignInPolicyId"];
        var B2CDomain = ConfigurationManager.AppSettings["ida:B2CDomain"];
        var tenant = ConfigurationManager.AppSettings["ida:Tenant"];
        var clientId = ConfigurationManager.AppSettings["ida:ClientId"];
        var clientSecret = ConfigurationManager.AppSettings["ida:ClientSecret"];
        var tokenEndpointUri = $"https://{B2CDomain}/{tenant}/{policyName}/oauth2/v2.0/token";

        using (var httpClient = new HttpClient())
        {
            var requestBody = new Dictionary<string, string>
            {
                { "grant_type", "refresh_token" },
                { "client_id", clientId },
                { "client_secret", clientSecret },
                { "scope", "openid" },
                { "refresh_token", refreshToken }
            };

            var response = await httpClient.PostAsync(tokenEndpointUri, new FormUrlEncodedContent(requestBody));
            var responseString = await response.Content.ReadAsStringAsync();

            if (!response.IsSuccessStatusCode)
            {
                // 可根据返回的错误码做更细粒度处理，比如"invalid_grant"表示刷新令牌失效
                throw new HttpRequestException($"刷新令牌失败：{responseString}");
            }

            var dynamicResponse = JsonConvert.DeserializeObject<dynamic>(responseString);
            return new TokenResponse
            {
                IdToken = dynamicResponse.id_token,
                RefreshToken = dynamicResponse.refresh_token,
                ExpiresIn = dynamicResponse.expires_in
            };
        }
    }
}

关键注意事项 #

• 确保在过滤器中先判断是否是ID令牌过期导致的未授权，而非所有授权失败场景，可通过解析旧ID令牌的过期时间来判定
• 对于POST请求，若业务需要保留请求数据，可在刷新前将POST参数存入TempData，重定向后从TempData中取出重新绑定到模型

内容的提问来源于stack exchange，提问作者Alfred Z