Как распознать refresh token в asp.net core?

Question

[AspMaster]

Для авторизацию использую пару access токен и refresh. Возникает такая ситуация, что пользователь может вместо access отправлять refresh токен в обычных обращениях к АПИ, что опасно, так как жизнь refresh токена сильно больше. Как не пропускать refresh токен в обычные методы? Была идея запихать в payload является ли он refresh или нет, но должен же быть способ лучше?

Answer 1

[Вячеслав Золотов]

Ну как бы если access token невалидный должно 401 статус возвращать и не пускать дальше

Comments

[AspMaster]

Перечитайте вопрос, пожалуйста!

[Вячеслав Золотов]

AspMaster

<Возникает такая ситуация, что пользователь может вместо access отправлять refresh токен в обычных обращениях к АПИ, что опасно, так как жизнь refresh токена сильно больше. Как не пропускать refresh токен в обычные методы?

Что я пропустил? Вам шлют невалидные данные, вы на это не реагируете

[AspMaster]

Вячеслав Золотов, я отправляю пользователю два токена - один access, второй refresh. Они оба валидны, но служат для разных целей.

[Вячеслав Золотов]

AspMaster, правильно, но какого у вас refresh token принимается как access token?

[AspMaster]

Вячеслав Золотов, ну вот этого я и хочу избежать. Они же оба генерируются как обычные jwt, включают claims пользователя и тд.