Автоматический выход после периода бездействия с Identity Server и OpenId Connect
В настоящее время у меня есть угловой SPA, вызывающий Web API. Я использую службу маркеров безопасности, реализованную с Identity Server 3 и библиотекой javascript oidc-client-js, чтобы обеспечить аутентификацию и авторизацию для использования Web API.
Протокол OpenId Connect, использующий неявный поток.
Я реализовал автоматическое обновление токена на основе этого искусства. Это для того, чтобы всегда иметь текущий Access_Token при вызове API.
Чтобы выйти из системы после определенного периода бездействия, я использую таймер JavaScript для вызова метода UserManager.signoutRedirect из библиотеки Oidc_Client_Js.
Это работает, однако я обеспокоен тем, что это может быть открыто для манипуляций, так как сеанс пользователя контролируется Javascript на клиенте.
Мой вопрос: есть ли рекомендуемые методы для применения "скользящего" автоматического выхода в одностраничных приложениях, защищенных с помощью OpenId Connect?