Azure ad b2c Asp.net会话超时与id令牌过期

如果ASP.NET会话超时为20分钟（滑动），ID令牌生存期和Web应用程序会话生存期会有什么影响

ID令牌生存期似乎是绝对的（默认为60分钟）。当身份验证过期时会发生什么情况，是在下一个请求时触发新的身份验证，还是仅当ID令牌和ASP.NET会话都过期时才会发生

---

Web应用程序会话生存期可以是绝对的，也可以是滚动的（默认为1440分钟）。它是针对B2C还是针对ASP.NET应用程序？ID令牌生存期和Web应用程序会话生存期之间的关系是什么？我的理解是，当ID令牌过期时，如果Web应用会话未过期，用户不必再次输入其凭据，我是正确的吗？

我将首先解释您在下面提到的几个概念之间的一些关键场景差异

ID令牌：如您所述，ID令牌的生命周期是“绝对的”——虽然您可以在管理门户中配置新创建的ID令牌的生命周期，但一旦创建了ID令牌，就无法延长现有令牌的生命周期。如果将ID令牌发送到服务上的某个端点，并且服务确定令牌已过期，则客户端必须从B2C获取新的ID令牌

B2C Web app会话生存期：根据您的策略的配置方式，B2C的Web app会话生存期决定是否可以在用户无需与UI交互的情况下处理发送到/authorize端点的新授权。但是，请注意，仍然会发生重定向。通常，这里的结果是客户的web应用重定向到B2C/授权端点，然后立即重定向回客户的web应用，并使用新生成的ID令牌（将具有新的/完整的ID令牌生存期）。从视觉上看，这可能看起来像一个“屏幕闪烁”，因为浏览器很快被引导离开，然后又返回。发生这种情况时，如果为web应用会话生存期选择了“滚动”类型，则此非交互式web应用会话可用于新窗口（默认为1440分钟），而如果选择“绝对”，则时间限制仍将基于上次执行完全交互式web会话的时间

正如我提到的，我自己对ASP.NET会话在这里的工作方式不是很熟悉，但是管理门户所指的“滚动”web应用程序是用于B2C的，而不是ASP.NET（我们与ASP.NET没有特殊的交互）。我猜ASP.NET层是我在这里描述的基础上的一个附加层。据推测，ASP.NET会话正在控制服务请求和验证ID令牌的频率，但您可能希望特别与ASP.NET团队跟进

下面没有提到的另一个关于静默重新授权的场景是“刷新令牌”。刷新令牌兑换是真正安静的（即，没有屏幕闪烁），并且可能是基于您的设置的首选解决方案。如果您使用的是单页应用程序（也称为“SPA”），那么还有其他可用选项

---

您可以在这里找到更多信息：

我将首先解释您在下面提到的几个概念之间的一些关键场景差异

ID令牌：如您所述，ID令牌的生命周期是“绝对的”——虽然您可以在管理门户中配置新创建的ID令牌的生命周期，但一旦创建了ID令牌，就无法延长现有令牌的生命周期。如果将ID令牌发送到服务上的某个端点，并且服务确定令牌已过期，则客户端必须从B2C获取新的ID令牌

B2C Web app会话生存期：根据您的策略的配置方式，B2C的Web app会话生存期决定是否可以在用户无需与UI交互的情况下处理发送到/authorize端点的新授权。但是，请注意，仍然会发生重定向。通常，这里的结果是客户的web应用重定向到B2C/授权端点，然后立即重定向回客户的web应用，并使用新生成的ID令牌（将具有新的/完整的ID令牌生存期）。从视觉上看，这可能看起来像一个“屏幕闪烁”，因为浏览器很快被引导离开，然后又返回。发生这种情况时，如果为web应用会话生存期选择了“滚动”类型，则此非交互式web应用会话可用于新窗口（默认为1440分钟），而如果选择“绝对”，则时间限制仍将基于上次执行完全交互式web会话的时间

正如我提到的，我自己对ASP.NET会话在这里的工作方式不是很熟悉，但是管理门户所指的“滚动”web应用程序是用于B2C的，而不是ASP.NET（我们与ASP.NET没有特殊的交互）。我猜ASP.NET层是我在这里描述的基础上的一个附加层。据推测，ASP.NET会话正在控制服务请求和验证ID令牌的频率，但您可能希望特别与ASP.NET团队跟进

下面没有提到的另一个关于静默重新授权的场景是“刷新令牌”。刷新令牌兑换是真正安静的（即，没有屏幕闪烁），并且可能是基于您的设置的首选解决方案。如果您使用的是单页应用程序（也称为“SPA”），那么还有其他可用选项

您可以在此处找到更多信息：