使用 IdentityServer4 保护胖客户端

Question

我正在通过 IS4 实现一个具有安全性的 Web 应用程序。 我的想法是让运行本地身份服务器的实际应用程序也成为管理它的端点：修改客户端、用户和资源等等。

我不想将实际的数据库工作分离到一个独立的 API 中，并且更愿意保持这个客户端的厚度。 但这将使这个 webapp 既是客户端又是受保护的资源。

这应该如何根据 IS4 实施？ 我是否将我的应用程序同时注册为客户端和 API？ IdentityServer4 中是否有更清洁的机制来进行这种“自检”？

Answer 1

您可以将用户管理相关的 api 添加到运行 Identity Server 的应用程序中。 您可以使用 ASP.NET Identity 和 EF Core 来管理用户/角色。

您的客户端应用程序将通过身份服务器应用程序进行身份验证，并获取访问令牌以访问 IDS 应用程序中受保护的用户管理 api。 身份服务器应用程序需要添加接受 api 请求的 JWT Bearer 身份验证架构（标头中带有令牌），然后您应该添加 Authorize 属性以在受保护的 api 控制器/操作上质询不记名身份验证。