使用 IdentityModel/IdentityServer4 验证会话仍然有效

Question

我无法让 IdentityModel 验证令牌是否仍有有效会话。这是我的客户代码。 _http 是 HttpClient 的一个实例。

不要因为在这种情况下使用用户名/密码而评判我。这是一个受信任的应用程序，我首先从更简单的场景开始，然后计划转向混合模型。

var discovery ??= await _http.GetDiscoveryDocumentAsync("http://localhost:5000");
var response = await _http.RequestPasswordTokenAsync(new PasswordTokenRequest
            {
                Address = discovery.TokenEndpoint,
                ClientId = ClientId,
                ClientSecret = ClientSecret,
                Scope = "api1",
                UserName = "test",
                Password = "test"
            }); // This succeeds while returning an AccessToken
var introspectionResponse = await _http.IntrospectTokenAsync(new TokenIntrospectionRequest
            {
                Address = discovery.IntrospectionEndpoint,
                ClientId = ClientId,
                ClientSecret = ClientSecret,
                Token = response.AccessToken
            }); // This fails with an unauthenticated error

Answer 1

我在这里最好的猜测是它一定是一个参考令牌流。这有点令人困惑。而这里的混淆是ClientId 和ClientSecret。

1. 您在创建AccessToken 时提供的ClientId 和ClientSecret 是最终用户的ClientId 和ClientSecret。

2. 您在自省AccessToken 时提供的ClientId 和ClientSecret 应该是您资源的Name 并且它是Secret，不是最终用户ClientId 和ClientSecret。

在IdentityServer 中，自省端点的客户端是 API 或资源，而不是最终用户。阅读完整的文档here。

在您的情况下，将api1 传递为ClientId 并将api1 的秘密传递为ClientSecret，同时自省AccessToken。它应该可以工作。