ASP.NET Core API 刷新 access token
内容提要
本文介绍了JWT Token和refresh token的概念和作用。JWT Token用于表示身份的唯一标识，而refresh token用于重新获取access token。access token用于访问受保护的资源，通常生命周期较短，过期后需要重新获取。refresh token用于获取新的access token，可以在几天到几个月内使用，但一旦过期或被撤销，需要重新进行身份验证。源代码地址：https://github.com/bingbing-gui/Asp.Net-Core-Skill/tree/master/Fundamentals/AspNetCore.API.Auth/AspNetCore.API.JWT.Authentication
延伸解读
为何需要双令牌机制
文章指出，出于安全性考虑，access token 的过期时间通常设置得较短，但这样会导致用户需要频繁登录。refresh token 的引入正是为了解决这一矛盾：它允许客户端在 access token 过期后，无需用户重新输入凭证即可获取新的 access token，从而在安全性和用户体验之间取得平衡。
实现要点：生成与使用
在实现上，文章提到在生成 access token 的同时，会为用户生成一个 refresh token，该 refresh token 是一个 64 位的随机数，并赋值给当前用户。登录方法也相应修改，在用户登录时同时生成两者。这为后续使用 refresh token 换取新 access token 奠定了基础。
生命周期与失效处理
access token 生命周期较短，过期后需重新获取；refresh token 生命周期较长，可达几天到几个月，在有效期内可用于获取多个 access token。但一旦 refresh token 过期或被撤销，客户端就必须让用户重新进行身份验证，以获取新的 refresh token。
Q&A
什么是refresh token？它有什么作用？
refresh token是用来重新获取用户access token的一个秘钥，它的职责只是用来生成一个新的access token。
为什么需要refresh token？
出于安全性，一般将access token过期时间设置得比较短，同时不让用户过于频繁地登录，这时就需要使用refresh token来重新获取access token。
access token和refresh token有什么区别？
access token用于访问受保护的资源，生命周期较短；refresh token用于获取新的access token，生命周期较长，通常为几天到几个月。
refresh token的有效期是多久？
refresh token的生命周期通常较长，可以是几天到几个月，甚至更长。
refresh token过期或被撤销后怎么办？
一旦refresh token过期或被撤销，客户端就需要用户重新进行身份验证来获取新的refresh token。
在ASP.NET Core中如何生成refresh token？
在生成token的同时为用户生成一个refresh token，refresh token用一个64位的随机数来表示，并赋值给当前用户。
