Ciao,

i token generati non sono memorizzati da nessuna parte, perché sono self-contained, ossia contengono tutte le informazioni necessarie al loro interno, tra cui:
- i claim
- la expiry date
- la issue date

Di solito sono almeno firmati digitalmente, così da evitare il tampering. Nel caso che ho descritto, il token è anche criptato usando la MachineKey di ASP.NET (e, nello specifico, la Validation Key).

Quindi, per rispondere alla tua domanda, non serve che ne verifichi la scadenza, mi limiterei semplicemente a gestire una risposta di tipo 401 - Unauthorized da parte del server che invochi e, all'occorrenza, richiedere un nuovo token.

A presto!
m.

Assolutamente sì. Owin funziona anche su IIS, non necessariamente solo in scenari self hosted.