OWIN承载令牌认证下，Access Token过期后Refresh Token无法刷新问题

你遇到的这个问题我之前帮不少开发者排查过——Access Token在有效期内能正常刷新，过期后就失效，大概率是Refresh Token的验证逻辑或者令牌存储关联环节出了问题。下面给你几个核心排查方向和修复方案：

1. 检查Refresh Token的生成与关联逻辑 #

在Create方法里，你得确保Refresh Token和用户身份（比如用户ID）、原令牌的核心Claims正确绑定，并且存储时保留足够验证信息：

• 生成Refresh Token时，一定要把用户唯一标识（比如sub Claim对应的用户ID）、自身过期时间（你设置的1小时）存到数据库或缓存里。
• 别只依赖Refresh Token的签名，验证时还要确认该令牌属于有效用户，且未被提前撤销。

给你个修正后的Create方法关键片段参考：

public override async Task CreateAsync(AuthenticationTokenCreateContext context)
{
    // 提取用户唯一ID
    var userId = context.Ticket.Identity.FindFirst(ClaimTypes.NameIdentifier).Value;
    
    // 生成唯一的Refresh Token ID，后续用来查询存储
    var refreshTokenId = Guid.NewGuid().ToString();
    var refreshTokenExpires = DateTime.UtcNow.AddHours(1);
    
    // 把Refresh Token和用户信息绑定存储
    await _refreshTokenStore.AddAsync(new RefreshTokenRecord
    {
        Id = refreshTokenId,
        UserId = userId,
        Expires = refreshTokenExpires,
        // 序列化用户身份Ticket，后续用来重新生成Access Token
        SerializedTicket = context.SerializeTicket()
    });
    
    // 返回Refresh Token给客户端
    context.SetToken(refreshTokenId);
}

2. 修正Refresh Token的验证逻辑（这是关键！） #

问题十有八九出在Receive方法里——很多开发者会错误地在验证Refresh Token时，去检查原Access Token的过期时间，而不是只校验Refresh Token自身的有效期。

正确的Receive方法应该是这样的：

public override async Task ReceiveAsync(AuthenticationTokenReceiveContext context)
{
    var incomingRefreshToken = context.Token;
    
    // 从存储中取出对应的Refresh Token记录
    var storedRefreshToken = await _refreshTokenStore.GetByIdAsync(incomingRefreshToken);
    if (storedRefreshToken == null || storedRefreshToken.Expires < DateTime.UtcNow)
    {
        // Refresh Token不存在或已过期，直接拒绝
        context.Rejected();
        return;
    }
    
    // 反序列化存储的用户Ticket，重新生成身份凭证
    context.DeserializeTicket(storedRefreshToken.SerializedTicket);
    
    // 可选：开启滚动刷新——删除旧的Refresh Token，生成新的返回给客户端
    await _refreshTokenStore.DeleteAsync(incomingRefreshToken);
    var newRefreshTokenId = Guid.NewGuid().ToString();
    await _refreshTokenStore.AddAsync(new RefreshTokenRecord
    {
        Id = newRefreshTokenId,
        UserId = storedRefreshToken.UserId,
        Expires = DateTime.UtcNow.AddHours(1),
        SerializedTicket = context.SerializeTicket()
    });
    context.SetToken(newRefreshTokenId);
}

3. 核对OWIN中间件的配置 #

确保你的OAuth服务端配置里，正确设置了令牌过期时间，并且指定了自定义的Refresh Token提供者：

app.UseOAuthAuthorizationServer(new OAuthAuthorizationServerOptions
{
    TokenEndpointPath = new PathString("/token"),
    Provider = new YourCustomOAuthProvider(),
    // Access Token有效期15分钟
    AccessTokenExpireTimeSpan = TimeSpan.FromMinutes(15),
    AllowInsecureHttp = true, // 生产环境务必关闭！
    // 指定你的Refresh Token处理类
    RefreshTokenProvider = new YourCustomRefreshTokenProvider()
});

// 启用Bearer Token认证中间件
app.UseOAuthBearerAuthentication(new OAuthBearerAuthenticationOptions());

4. 确认客户端请求格式 #

最后检查下客户端的刷新请求是否正确——必须发送grant_type=refresh_token，并且携带有效的Refresh Token，别误传过期的Access Token：

POST /token
Content-Type: application/x-www-form-urlencoded

grant_type=refresh_token&refresh_token=YOUR_VALID_REFRESH_TOKEN&client_id=YOUR_CLIENT_ID

如果还是不行，建议在Receive方法里加些日志，比如记录Refresh Token的ID、过期时间、查询到的用户信息等，这样能快速定位哪一步出了问题。

内容的提问来源于stack exchange，提问作者Syed Waqas