在自定义声明中保留用户安全配置文件数据

Question

我的应用程序必须使用用户 api key & api secret 在配置文件/管理中手动提供的使用从外部服务获取数据。

我想防止将这些必要的键查询大量检索到数据库并将其保存在其他地方（假设这些键不会更新得太频繁）。

在我看来，它可以通过下一个选项来实现：

1. 将MemoryCache 提供程序与SlidingExpiration 一起使用；
2. 创建自定义 Claim 并将其附加到现有的 Identity 声明集合中；

如果我错了请纠正我，但如果我意识到它是正确的 - 声明的信息是数据的一部分，用于前端的序列化/反序列化后端交互（我不太有信心关于它，但假设它在 cookie 和令牌中使用）。

实际上，多个后台进程（例如消息队列消费者或计划作业）也需要这些密钥。

您是否介意让我知道一种以优化方式保存这些受保护和经常使用的字段的正确方法？

提前谢谢你。

Answer 1

当您使用SignInManager 的登录方法之一登录时，它会在浏览器上设置一个带有访问令牌的cookie。此 cookie 包含索赔数据。因此，在随后的授权请求中，您可以查询 User.Claims 字段以访问所需字段，而无需访问您的数据存储。

现在，您是否选择使用声明完全取决于您需要 API 密钥/秘密的频率。您的声明是访问令牌的一部分。如果在每个请求上发送 API 密钥/秘密是合理的，那么声明是理想的选择。

---

更新：

与其在前端解密令牌，不如将它们与访问令牌一起发送到前端客户端。

如果您不知道IdentityServer4 或OpenIddict，请查看它们。它可能有你需要的一切。