使用 OAuth 和 IdentityServer4 在没有用户凭据的情况下验证 Angular 应用程序

Question

我有一个与 Asp.net Core API 通信的 Angular 应用程序。它是一个公共应用程序，意味着用户无需指定用户名和密码即可使用它。

我想使用 IdentityServer4 来保护 API 免受直接操纵。在查看 IS4 上的各种凭证流时，客户凭证看起来很合适。然而，那里的所有帖子都在谈论授权代码流。

这是最好的下降路线还是一个坏主意？我怎样才能做到这一点？

Answer 1

这里的主要问题是“信任的质量”。一般来说，根本不可能使公共 js 客户端受信任。任何人都可以在浏览器中打开控制台，复制请求，将其粘贴到 curl 或 postman 中并调用 api。但是，如果您只想阻止直接访问 get 方法而不在标头中使用不记名令牌，那么纯 Client Credentials 就足够了。否则，您必须实现一些特殊的东西，例如完全自定义授权，或更简单的CustomTokenRequestValidator，它将在正常流程（包括客户端凭据）中调用，并且您可以在其中执行一些额外的操作检查（两种方法都引用了here）。