如何使应用程序配置文件数据进入访问令牌？

Question

我正在将IdentityServer4与v4 / v3客户端混合使用。

我将自定义配置文件数据存储在应用程序端，希望将其包含在access_token中，以便我的下游API可以在承载/ jwt身份验证中使用它。

我了解我可以通过IProfileService处理声明，但这是在身份方面而不是在应用程序上注册的。

如何将我的自定义配置文件声明放入请求的访问令牌中？

额外细节

我已经使用扩展赠款 （ Extension Grants）进行了概念验证，以专门通过IdS传递我的应用程序声明，以使其包含在令牌中。 它可以工作...但是感觉很hacky。

Answer 1

请不要这样做。 JWT令牌随每个请求一起发送。

如果下游API需要用户提供某些信息，则可以通过调用提交它，或者可以通过下游API进行调用。 将很少使用的大型信息嵌入到每次呼叫传输的内容中（http 2.0中除外）是非onononono。

Answer 2

授权服务器创建并签名后，您将无法更改jwt令牌内容。 但是您可以使用ClaimsTransformation来操纵api项目上的声明。

编辑：使用JwtBearer OnTokenValidated事件的另一个选项。

Answer 3

从IProfileService的实现发出的任何声明都应以令牌结尾。 请注意，您的IProfileService实现应检查它是否发出与IdentityResources或ApiResources相关的声明。 将api声明添加到id_token将有点毫无意义。

当客户端从您的IDS收到令牌时，它将在调用中将其传递给您的API。 如果您的客户端使用cookie身份验证，则令牌本身以及一些用户配置文件声明将存储在身份验证cookie中。 这显然取决于您使用隐式，混合等的流程。

如果要检查从客户端IDS返回的内容，可以添加Cookie身份验证事件处理程序（例如OnValidatePrincipal）以查看Cookie中存储的内容，或者将OnUserInformationReceived事件处理程序添加到OIDC处理程序并检查获得的内容回到那里。