混合流客户端凭据 OAuth 2.0

Question

我在 .net core 中有一个 web api

并通过单独的身份服务器受到客户端凭据和授权流的保护

我有某些 api 调用，我希望具有特定角色的用户可以访问，这很容易

我还有系统 api 调用，这些调用只能由 client_credentials 调用 机器对机器。

仅仅放置一个 [Authorize] 属性是不够的，因为这意味着任何用户都可以调用它。

如何识别客户凭证账户并限制方法？

Answer 1

从客户端凭据流发出的令牌没有sub 声明，因为没有用户存在。您可以添加策略来检查是否有sub 声明：

services.AddAuthorization(options =>
{
    options.AddPolicy("ClientCredentialOnly", policy =>
    {
        policy.RequireAssertion(context =>
        {
            //Here you can get many resouces from context, i get a claim here for example
            var sub= context.User.Claims.FirstOrDefault(x => x.Type == "sub")?.Value;

            return sub==null;
        });
    });
});