如何在ASP.NET Identity中限制用户仅拥有一个访问令牌

嘿，这个问题问得很到位——默认情况下，你用的OAuth中间件确实没有内置的并发令牌数量限制，也就是说用户每次登录都会拿到新的有效令牌，直到每个令牌自己过期。咱们一步步拆解这个问题：

默认配置下，用户可以拥有任意多个未过期的有效访问令牌，直到每个令牌的有效期结束。但你可以通过自定义逻辑来添加限制。

默认行为细节 #

• 每次用户调用令牌端点（比如/token）完成登录验证后，OAuth中间件都会生成一个全新的访问令牌，完全不管用户是否已经持有其他有效令牌。
• 令牌的有效期由你在OAuthAuthorizationServerOptions里配置的AccessTokenExpireTimeSpan决定，如果没显式设置，大部分框架默认是1小时左右。
• 从你给出的Startup代码来看，ConfigureOAuth(app)方法里应该包含了OAuth服务的核心配置，类似这样：

public void ConfigureOAuth(IAppBuilder app)
{
    var oAuthServerOptions = new OAuthAuthorizationServerOptions
    {
        AllowInsecureHttp = true, // 生产环境务必改为false
        TokenEndpointPath = new PathString("/token"),
        AccessTokenExpireTimeSpan = TimeSpan.FromHours(1),
        Provider = new CustomAuthorizationServerProvider() // 你的自定义验证提供者
    };

    app.UseOAuthAuthorizationServer(oAuthServerOptions);
    app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());
}

潜在的问题 #

没有并发限制可能带来两个主要问题：

• 安全隐患：如果用户的某个令牌泄露，即使他后续重新登录，泄露的令牌在过期前仍然可以正常使用，可能被第三方滥用。
• 资源消耗：大量有效令牌会增加后端验证的压力（虽然单令牌验证开销不大，但量级上去后会有影响），如果搭配了刷新令牌，还需要存储更多的刷新令牌记录。

如何添加令牌并发限制 #

如果你想限制用户的有效令牌数量，可以通过以下几种方案实现：

方案1：实现令牌黑名单机制 #

在用户生成新令牌时，将该用户之前的所有有效令牌加入黑名单（可以存在Redis、内存缓存或数据库中），然后在每次验证令牌时检查是否在黑名单内。

• 具体操作：在你自定义的OAuthAuthorizationServerProvider的GrantResourceOwnerCredentials方法中，生成新令牌后，把用户之前的令牌标记为失效。
• 注意：要定时清理过期的黑名单记录，避免存储冗余数据。

方案2：限制并发登录数 #

维护每个用户的有效令牌列表，当新令牌生成时，如果数量超过设定的阈值（比如最多允许2个），就将最早的令牌失效。

• 比如可以在数据库中创建一张表，记录用户ID、令牌值、过期时间，每次生成新令牌时检查该用户的有效令牌数量，超过阈值就删除最旧的记录，验证令牌时检查是否在有效列表中。

方案3：优化刷新令牌策略 #

如果你的系统使用了刷新令牌，可以配置RefreshTokenProvider，让每次刷新令牌时废弃旧的刷新令牌。这样用户只能用最新的刷新令牌获取新的访问令牌，间接限制了有效访问令牌的数量（不过已生成的访问令牌在过期前仍然有效）。

内容的提问来源于stack exchange，提问作者RezaNoei