IdentityServer4密码授予

Question

我已经站了一个identityserver4实例、一个API项目和一个UI。

工作流程如下：

1. 用户访问UI。
2. 用户向用户界面提供用户名和密码。
3. UI向web应用程序的后端发送凭据，该应用程序使用密码授权使用IdentityServer4对用户进行身份验证。
4. IdentityServer4返回一个令牌。
5. 令牌用于标识用户对UI的身份，以及用户可以访问站点的某些部分。
6. 当用户需要在站点内做一些事情时，令牌通过承载器传递给API。

密码授予是不可商量的，因为这是一个第三方应用程序，它是没有意义的重新引导用户离开主站点。

有什么合适的中间件可用于此？我应该只使用CookieAuthenticationMiddleware并附加令牌作为声明吗？我需要访问HttpContext.User声明中的声明。我需要使用IdentityMiddleware吗？

Answer 1

您可以使用密码授予类型请求标识作用域，并使用userinfo端点将其解析为声明(如本示例中所示)：

https://github.com/IdentityServer/IdentityServer4.Samples/tree/dev/Clients/src/ConsoleResourceOwnerFlowUserInfo

是的--您可以使用cookie中间件来持久化这些声明和访问令牌，以便以后使用。