ASP.NET Core3.0+Angular9集成IdentityServer4无操作10分钟会话过期失效问题

核心问题本质是三层逻辑未对齐：1）ASP.NET Core Identity的Cookie配置被默认覆盖未生效；2）Angular端oidc-client默认持久化存储令牌，关闭浏览器也不会清除；3）JWT令牌本身是自包含的，有效期独立于IdentityServer会话Cookie，且前端未做会话过期联动处理。

一、修正后端会话Cookie配置 #

你之前配置IdentityServer的Cookie选项、单独加AddCookie都不生效的核心原因是：你集成了AddAspNetIdentity，Identity自身会注册独立的Cookie认证方案，优先级高于IdentityServer的配置，需要用专门的方法配置Identity的应用Cookie：

services.ConfigureApplicationCookie(options =>
{
    options.ExpireTimeSpan = TimeSpan.FromMinutes(10);
    options.SlidingExpiration = true;
    // 非HTTPS环境调试时可临时关闭，生产环境建议开启
    // options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.Cookie.SameSite = SameSiteMode.Lax;
});

同时要确认IdentityServer的Client配置中，将SPA客户端的AccessTokenLifetime设为10分钟（默认是3600秒即1小时，这是你10分钟后依然能访问的核心原因之一）：

new Client
{
    ClientId = "你的SPA客户端ID",
    ClientType = ClientType.Spa,
    AccessTokenLifetime = 60 * 10, // 10分钟，单位秒
    // 其他原有配置
}

二、修正Angular端令牌存储逻辑 #

关闭浏览器依然能进入应用的原因是：oidc-client默认将用户令牌、身份信息存在localStorage中，属于持久化存储，关闭浏览器不会清除。修改UserManager的初始化配置，将存储改为会话级的sessionStorage，关闭浏览器/标签页就会自动清除：

// 初始化userManager的配置部分新增
import { WebStorageStateStore } from 'oidc-client';

const config = {
  // 你的原有oidc配置：authority、client_id、redirect_uri等
  userStore: new WebStorageStateStore({ store: window.sessionStorage })
};

三、实现无操作自动过期的最优方案 #

因为后端无法感知前端用户是否有操作，要精准实现「无操作10分钟过期」，推荐采用「前端闲置检测+令牌过期校验+静默登录兜底」的组合方案：

• 前端闲置检测：全局监听用户的mousemove、keydown、scroll、touchstart等交互事件，每次触发事件就重置倒计时，10分钟无触发时直接调用userManager.signoutRedirect()跳转到IdentityServer登出页，登出完成后跳转回登录页
• HTTP请求拦截校验：新增Angular HTTP拦截器，每次发送API请求前先调用userManager.getUser()判断用户状态，如果令牌已过期，先尝试调用userManager.signinSilent()走静默刷新流程，如果静默刷新失败（说明IdentityServer端会话Cookie已过期），直接触发登出跳转
• 路由守卫校验：在路由守卫中新增令牌有效性校验，每次路由跳转前检查用户令牌是否有效，无效则直接跳转登录

内容的提问来源于stack exchange，提问作者San Jaisy