错误请求 - 请求太长 (IdentityServer4)

Question

我有一个 IdentityServer4，当用户有大约 10 个角色时，cookie 似乎呈指数增长。现在每次我尝试登录时都会收到一个 400 错误请求太长，因为 cookie 太大了。

我收到的 cookie 被分成 5 个大小约为 4008 的块：

这些 cookie 似乎设置在应用程序的 signin-oidc 端点上。

我在身份服务器中使用默认的 cookie 设置 - 那里没有更改。

有什么想法会导致这些 cookie 增长得如此之快吗？ Id_token 和 Access_token 的大小似乎比这些 cookie 小很多。

编辑：我分配给用户的每个角色似乎都将 400 大小添加到块中的最后一个 cookie，这对我来说似乎非常大？

编辑 2：我使用自定义配置文件服务会影响最终 cookie 的大小：

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        var subjectId = context.Subject.GetSubjectId();
        var user = await _userManager.FindByIdAsync(subjectId);

        if (user == null) return;

        var claims = new List<Claim>
        {
            new Claim("username", user.UserName),
            new Claim("email", user.Email),
            new Claim("firstname", user.FirstName),
            new Claim("lastname", user.LastName)
        };

        var roles = await _userManager.GetRolesAsync(user);
        foreach (var role in roles)
        {
            claims.Add(new Claim("role", role));
        }

        var userClaims = await _userManager.GetClaimsAsync(user);
        foreach (var userClaim in userClaims)
        {
            claims.Add(new Claim(userClaim.Type, userClaim.Value));
        }

        context.IssuedClaims = claims;
    }

Answer 1

增长的是应用程序身份验证 cookie，而不是身份服务器 cookie。

您猜对了，cookie 正在增长，因为它加密了所有声明，包括 cookie 中的角色以在服务器调用之间保持它们。

另一种解决方案是将 IdentityServer 配置为仅传递初始登录时整个应用程序生命周期所需的最少量用户数据。其他一切，您可能需要“在某个时候”，您可以使用access_token 通过对user-info endpoint 的后端调用来检索。这种方法的缺点是管理access_token 的生命周期成为一个问题，因为与cookie 不同，它没有滚动到期。

其他选项是为您的网络应用启用会话，并将 cookie 数据存储到服务器端会话存储中，而不是 cookie 本身。

更新：

关于您的 GetProfileDataAsync，它会加载所有声明，这很好，但随后您在 IdentityResources 配置中配置过滤您实际想要传递给客户端的声明。 IdentityServer 的配置是太大的话题，无法在 SO question 中详细讨论。