在發送響應之前，如何在數據庫中存儲承載令牌？

Question

我開發了一個Web API，該API使用基於令牌的身份驗證（使用Identity和OWIN）。 我需要做的是在使用令牌進行的每個請求中標識用戶，以便我可以提供僅屬於該用戶的數據。 我的想法是在身份驗證成功后立即使用令牌插入/更新該用戶記錄。 我怎樣才能做到這一點？ 我的意思是，在將響應返回給客戶端之前，如何獲取令牌？ 或者...還有其他方法可以做到嗎？

Answer 1

您無需存儲令牌即可識別用戶。 用戶身份在令牌中是獨立的。

當資源服務器收到請求時，OAuth2.0中間件（在Microsoft.Owin.Security.OAuth dll中實現）解密令牌並將其設置為Identity屬性（在大多數方法中為context.Ticket.Identity或context.Identity ）。 然后，您可以檢查用戶身份。

考慮到授權服務器和資源服務器可以分開，並且資源服務器通常無權訪問授權服務器數據庫。