ASP.NET WEB API 服务器上存储的授权令牌信息在哪里？

在用户注册后，在我的 Web Api 2 Identity 2 应用程序中，我在单个表中有一条记录：AspNetUsers。我使用以下 http 请求来获取令牌：

POST https://localhost:44304/Token HTTP/1.1
Accept: application/json
Content-type: application/x-www-form-urlencoded
Accept-Encoding: gzip
Content-Length: 68
Host: localhost:44304
Connection: Keep-Alive
User-Agent: Apache-HttpClient/UNAVAILABLE (java 1.4)

grant_type=password&[email protected] /cdn-cgi/l/email-protection&password=123456

我得到了 access_token 的响应：

HTTP/1.1 200 OK
Cache-Control: no-cache
Pragma: no-cache
Content-Length: 695
Content-Type: application/json;charset=UTF-8
Expires: -1
Server: Microsoft-IIS/8.0
X-SourceFiles: =?UTF-8?B?QzpcVXNlcnNcU2VyZ2V5XERvY3VtZW50c1xWaXN1YWwgU3R1ZGlvIDIwMTNcUHJvamVjdHNcbXZjX3dlYmFwaVxXZWJBcHBsaWNhdGlvblxXZWJBcHBsaWNhdGlvblxUb2tlbg==?=
X-Powered-By: ASP.NET
Date: Tue, 25 Nov 2014 17:40:07 GMT

{"access_token":"gsvW23e1...}

获得令牌后，数据库中不会添加任何记录。表 AspNetUsers 中仍然只有一条记录。数据库中的任何表中均不存储有关已发行令牌的信息。

我在 Web api 控制器中使用以下代码来验证用户身份：

var currentUser = manager.FindById(User.Identity.GetUserId());
if (currentUser == null)
{
    HttpResponseMessage response = new HttpResponseMessage(HttpStatusCode.Unauthorized);
    return ResponseMessage(response);
}

之后，我执行密码更改并尝试使用旧的 access_token （我在密码更改之前获得的）调用一些 Web api 控制器方法，并且 access_token 仍然有效！当前用户不为空！ 我读过 stackoverflow 上的其他帖子ASP.Net Identity 注销所有会话 https://stackoverflow.com/questions/21218027/asp-net-identity-sign-out-all-sessions ASP.Net 身份注销 https://stackoverflow.com/questions/20681726/asp-net-identity-logout和博文https://timlotter.com/blog/asp-net-identity-invalidate-all-sessions-on-securitystamp-update/ https://timmlotter.com/blog/asp-net-identity-invalidate-all-sessions-on-securitystamp-update/但我还是不明白发行的代币的信息存储在哪里。 所以我的问题是： 1）access_token的信息存储在服务器的哪里？ 2）为什么修改密码后我仍然可以使用修改密码前服务器颁发的access_token？ 3）如何使修改密码前发放的所有access_token失效？

1) 令牌不存储在数据库或本地存储中的任何位置。这意味着令牌不会存储在服务器中的任何位置。

2) 实际上，密码重置令牌是使用 SecurityStamp 生成的，并根据用户的 SecurityStamp 进行验证。除非您未设置过期时间或更新该用户的 SecurityStamp，否则令牌不会过期。

可以在身份配置类的 userManager 属性上设置过期时间。以下示例显示令牌生命周期为 1 小时。查看this http://www.asp.net/identity/overview/features-api/account-confirmation-and-password-recovery-with-aspnet-identity文章。

 if (dataProtectionProvider != null)
 {
    manager.UserTokenProvider =
       new DataProtectorTokenProvider<ApplicationUser>
          (dataProtectionProvider.Create("ASP.NET Identity"))
          {                    
             TokenLifespan = TimeSpan.FromHours(1)
          };
 }

您可以使用自己的机制来检查以前使用过的令牌。

3) 更新安全标记。这将使为该用户颁发的所有令牌失效，包括 cookie。最好用你自己的想法来制作过期密码重置令牌。

作为示例，您可以使用另一列将任何生成的密码重置令牌存储在数据库中并验证它（可能有更好的方法来做到这一点）。

请记住，登录 access_token 的生成方式不同，并且它具有您在 Owin 启动承载令牌过期时间中设置的过期时间。

希望这可以帮助。