刷新声明而不刷新令牌

Question

我们正在使用 IdentityServer3 来验证我们的用户。我们在与主应用程序 API 不同的 Web 应用程序上运行它。声明有一个层次结构——例如，场地、工厂和设备。用户可以对工厂中的一件设备提出索赔，但不能对整个工厂或现场提出索赔。

声明的分发是通过后台作业处理的。

当用户创建站点、工厂或设备时，系统会为他们创建声明，这也可能已分发给其他用户。

当请求进入引擎 API 时，我们需要确保我们正在查看当前用户的最新声明集。

有什么方法可以保证每次都向 API 发送最新的声明？

Answer 1

如果您需要的数据经常更改，那么建议不要将它们作为声明放在令牌或 cookie 中。相反，只需将用户的唯一 ID（子声明）放入令牌或 cookie，然后根据需要从数据库中查找其余部分。如果性能有问题，那就做缓存。