如何使用 IdentityServer4 授予用户对特定 API 的访问权限？

Question

我正在构建一个新的安全令牌服务（在 ASP.NET Core 上运行 IdentityServer4），并且需要让登录到前端应用程序的用户只能访问某些 API。

到目前为止，我能够让用户登录到 JS 客户端，并通过访问配置为特定 JS 客户端令牌服务上允许范围的 API 的权限获得授权/身份验证。

我希望做的是将每个用户配置为只能访问某些 API - 不一定是允许范围内的所有 API。

我是新手，所以我什至不确定我问的问题是否正确。但是，我希望它仍然可以理解，并且很乐意回答任何问题。

---

我如何在令牌服务中定义我的用户：

new TestUser
{
    SubjectId = "05624",
    Username = "asd",
    Password = "asd",
    Claims = new []
    {
        new Claim("name", "My Name"),
        new Claim("email", "myname@email.net")
    }
}

---

我如何在令牌服务中定义我的客户端：

new Client
{
    ClientId = "js-demo"
    AllowedGrantTypes = GrantTypes.Code,
    AllowedScopes = 
    { 
        "openid", 
        "api_1",
        "api_2"
    },
    AllowedCorsOrigins = { "http://localhost:5000" },
    RedirectUris = { "http://localhost:5000/callback.html" },
    PostLogoutRedirectUris = { "http://localhost:5000/index.html" },
    RequirePkce = true,
    RequireClientSecret = false,
    AllowAccessTokensViaBrowser = true
}

---

我如何在令牌服务中定义我的 API 资源：

new List<ApiResource>
{
    new ApiResource("api_1"),
    new ApiResource("api_2")
};

---

我如何定义我的前端客户端：

var config = {
    client_id: "js-demo",
    response_type: "code",
    scope: "openid api_1 api_2",
    authority: "http://localhost:9999",
    redirect_uri: "http://localhost:5000/callback.html",
    post_logout_redirect_uri: "http://localhost:5000/index.html"
};

Answer 1

IdentityServer 并不打算这样做。它授予应用程序使用用户身份的权限，而不是用户使用应用程序的权限。

如果您只是构建一个简单的系统，您可以为用户分配role 声明，并在您的应用程序中制定策略，根据用户的角色允许/禁止用户。但随着您的权限逻辑不断增长，这将变得难以管理。

看看 PolicyServer，他们对您遇到的问题有很好的介绍。 https://policyserver.io/