Должен ли запрос на обновление токена включать токен доступа с истекшим сроком действия?

Question

Я реализую веб-приложение с использованием ядра angular и asp.net.Я сделал пользовательскую аутентификацию с использованием библиотек Jwt .Net.Я не использую какой-либо провайдер идентификационных серверов.После аутентификации пользователя я возвращаю токен доступа с токеном обновления:

{access_token: "" eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 .... ", refresh_token:" GDSDSGFDS ... "}

Когда запрос на обновление токена долженЯ отправляю маркер доступа с истекшим сроком действия и проверяю его или достаточно токена обновления?

Еще одна вещь, я читал о том, как не сохранять токен обновления в браузере (угловая сторона). Есть ли другой вариант применения токена обновлениясценарий

Answer 1

Я бы сказал, что отправки refresh_token достаточно с точки зрения клиента.Но в случае взлома базы данных злоумышленники могут найти в базе данных refresh_token.

Я читал о том, как не хранить токен обновления в браузере (угловая сторона)

Я предлагаю хранить токен обновления в локальном хранилище и иметь токен доступа с коротким сроком действия.