Token refresh的实现

实现原理：

在access_token里加入refresh_token标识，给access_token设置短时间的期限（例如一天），给refresh_token设置长时间的期限（例如七天）。当活动用户（拥有access_token）发起request时，在权限验证里，对于requeset的header包含的access_token、refresh_token分别进行验证：

1、access_token没过期，即通过权限验证；

2、access_token过期,refresh_token没过期，则返回权限验证失败，并在返回的response的header中加入标识状态的key，在request方法的catch中通过webException来获取标识的key，获取新的token（包含新的access_token和refresh_token），再次发起请求，并返回给客户端请求结果以及新的token，再在客户端更新公共静态token模型；

3、access_token过期,refresh_token过期即权限验证失败。

下面展示一下关键代码：

一、登录生成token的时候加入refresh标识

 public TOKEN GetToken(string username, string password)
        {
            TOKEN token = new TOKEN();
            U_USER model = new BLLU_USER().Token(username, password);
            if (model != null)
            {
                string pwd = new SDDMD().MD5_jie(model.USERPWD);
                string md5 = new SDDMD().MD5_jia(model.USERID +"&"+ DateTime.Now.ToString("yyyy-MM-dd HH:mm:ss") +"&"+ pwd+"&refresh"+ DateTime.Now.ToString("yyyy-MM-dd HH:mm:ss"));
                token.access_token = md5;
                token.token_type = "Authorization";
                token.expires_in = DateTime.Now.ToString("yyyyMMddHHmmss");
                //token.refresh_token = DateTime.Now.ToString("yyyy-MM-dd HH:mm:ss") + "&refresh";
            }
            return token;
        }

二、在权限验证环节，对于access_token、refresh_token设置不同时间的期限。再根据判断结果返回状态。

        /// <summary>
        /// 校验token是否有效
        /// </summary>
        /// <param name="encryptTicket">用户提交的Token值</param>
        /// <returns></returns>
        private int ValidateTicket(string encryptTicket)
        {
            try
            {
                var strTicket = new DBUtility.SDDMD().MD5_jie(encryptTicket);
                string[] TicketMsg = strTicket.Split('&');
                if (TicketMsg.Length == 4)
                {
                    string username = TicketMsg[0];//用户名
                    string passwrod = TicketMsg[2];//密码
                    U_USER model = new BLL.BLLU_USER().Token(username, passwrod);//登陆验证
                    if (model != null)
                    {
                        _userModel = model;
                        //定义Access_Token有效期为1天，精确到秒
                        DateTime dt = Convert.ToDateTime(TicketMsg[1]).AddDays(1);

                        //定义Refresh_Token有效期为1天，精确到秒

                        DateTime dtNew= Convert.ToDateTime(TicketMsg[3].Substring(7)).AddDays(7);//
                        if (dt > DateTime.Now)
                            return 1; //1:access_token没过期
                        else
                        {
                            if (dtNew > DateTime.Now)
                                return 2; //2:access_token过期,refresh_token没过期
                            else
                                return 3; //3:access_token过期,refresh_token过期
                        } 
                    }
                    else
                        return 3;
                }
                else
                    return 3;
            }
            catch { return 3; }
        }

三、根据反馈的状态执行不同的方法，“2”（access_token过期,refresh_token没过期）状态下，给返回失败的response的header中加入识别的key值。

        /// <summary>
        /// 定义Access_token验证过期但Reflesh_token有效返回请求刷新token的信息
        /// </summary>
        /// <param name="actionContext"></param>
        protected void RefreshToken(HttpActionContext actionContext)
        {
            var content = "refreshtoken";
            base.HandleUnauthorizedRequest(actionContext);
            var response = actionContext.Response;
            response.StatusCode = HttpStatusCode.Forbidden;
            response.Content = new StringContent(content, Encoding.UTF8, "application/json");
            response.Headers.Add("token", "refresh");//加入识别的key值
        }

四、request方法中通过Catch捕获webException对象获取Key值，并获取新的token（包含新的access_token和refresh_token），再次发起请求，并返回给客户端请求结果以及新的token。

        /// <summary>
        /// Get head中携带token发送请求
        /// </summary>
        /// <param name="url">WebAPI访问路径</param>
        /// <param name="tokentype">token验证方式 《Authorization》</param>
        /// <param name="tokenvalue">token 《"Bearer " + Token》</param>
        /// <returns></returns>
        public string GetRequest(string url, string tokentype, string tokenvalue)
        {
            try
            {
                string responseStr = string.Empty;
                WebRequest request = WebRequest.Create(http + url);
                request.Timeout = 60000;
                request.Method = "Get";
                request.Headers.Add(tokentype, tokenvalue);
                var response = request.GetResponse();
                Stream ReceiveStream = response.GetResponseStream();
                using (StreamReader stream = new StreamReader(ReceiveStream, Encoding.UTF8))
                {
                    responseStr = stream.ReadToEnd();
                }
                return responseStr;
            }
            catch (WebException e)
            {
                using (WebResponse response = e.Response)
                {
                    string result=response.Headers.Get("token");//获取识别的KEY
                    if (result == "refresh")//验证是否为状态“2”方法所加的key值
                    {
                        var strTicket = new SDDMD().MD5_jie(tokenvalue.Substring(6));
                        string[] TicketMsg = strTicket.Split('&');
                        string username = TicketMsg[0];//用户名
                        string passwrod = TicketMsg[2];//密码
                        string responseStr = GetRequest("CYUMS/Token/" + username + "/" + passwrod);//获取新的token
                        TOKEN tokenmodel = JsonConvert.DeserializeObject<TOKEN>(responseStr);
                        string secondResponseStr= GetRequest(url, tokenmodel.token_type, "Haval " + tokenmodel.access_token);//再次发起请求
                        return secondResponseStr + "|" + responseStr;//返回请求结果以及新的token
                    }
                    else
                        throw e;
                }
            }
        }

五、客户端识别token是否更新，如果更新，就更新公共静态token模型中的access_token的值；

            string user = new HttpHelper().GetRequest(getUserModel, tokenmodel.token_type, "Haval " + tokenmodel.access_token);
            string[] str = user.Split('|');
            if (str.Length == 2)//判断是否有token更新
            {
                TOKEN tokens = JsonConvert.DeserializeObject<TOKEN>(str[1]);
                tokenmodel.access_token = tokens.access_token;
            }
            U_USER users = JsonConvert.DeserializeObject<U_USER>(str[0]);
            //business code...