identityserver4保护公共api

似乎有些混乱。请允许我作一个简短的总结。首先 terminology :

• A 是使用已注册客户端访问资源的人员。
• A 是一种从IdentityServer请求令牌的软件,用于验证用户(请求标识令牌)或访问资源(请求访问令牌)。客户端必须先向IdentityServer注册,然后才能请求令牌。

• 资源 是您希望使用IdentityServer保护的内容—用户的身份数据或API。

• Client credentials :最简单的授权类型,用于服务器到服务器的通信-始终代表客户端而不是用户请求令牌。

流,那么你需要一个clientid+秘密。其中秘密是真正的秘密,应该只为客户所知。你不能在这里用同样的秘密。与用户相比似乎是合乎逻辑的,他们也不共享相同的密码。

但是,客户端不能以用户身份登录。为此,你需要另一个流程,比如 混合的

本例中的客户端是您的应用程序:console或mvc。第一个仅支持客户端凭据,其中机密是强制的,第二个支持混合流,其中机密可以省略:

在某些情况下,客户端需要通过 identityserver

• 在令牌端点请求令牌的机密应用程序(又名客户端)

为了授予客户端对资源的访问权,您需要在IdentityServer的配置中将作用域添加到客户端。然后允许客户机(而不是必需的)请求授予对资源的访问权的令牌。

同样,Api与身份验证无关。它也不绑定到一个客户机。多个客户端可以访问资源。您所要做的就是将作用域添加到应该有权访问资源的每个客户端。

所以客户和资源知道他们的秘密并没有什么不好的。你不需要改变什么。你所要做的就是选择合适的流程。