Web API身份验证后添加特定于应用程序的声明（身份服务器）

Question

我在Web应用程序OnValidateIdentity中将特定于应用程序的声明添加到Identity Sever的访问令牌声明中。 我正在为登录的用户查询每个API调用的数据库的应用程序特定声明。 我是否应该提出将特定于应用程序的声明注入到Identity Server的令牌中（以减少DB调用）？

Answer 1

Identity Server令牌应仅包含有关用户的声明。 收到令牌后，可以查询特定于应用程序的声明。 如果您担心的话，可以引入一个缓存层来减少数据库调用。

但是，如果您有真正正当的理由，则可以打破这些规则，并在身份服务器上添加特定于应用程序的声明。 （例如：多个应用共享的设置）。