IdentityServerベストプラクティスでトークンをリフレッシュするとき

Question

私は、ハイブリッドフローを使用して認証する簡単なテストアプリケーションを作成しました。 更新トークンをクレームとして保存していますので、トークンを更新することができます。

しかし、これを行う際に推奨されるベストプラクティスは何ですか？

どのイベントで有効期限を確認する必要がありますか？または、私は無許可のイベントを待つべきですか？これの例はありますか？

リクエストが作成される前にトークンの期限が切れていることがわかっているのですが、許可されていないことを待っているかもしれませんが、いつ、どのようなイベントを行うのがベストプラクティスですか？

Answer 1

通常、リフレッシュトークンは、永続的なデータストアに保存されます。これは、APIへの長期間のアクセスを得るためです。

次に、アクセストークンを有効な限り使用します（たとえば、APIIから401を取得するまで使用します）。次に、リフレッシュトークンを使用してトークンをリフレッシュします。