如何验证放置在 ASPNETCORE 中的 Angular 4 应用程序

Question

我浏览了 IdentityServer4 的在线示例，但我无法解决我遇到的问题。

我有一个 Angular 4 应用程序位于 ASP.NET Core 2 应用程序的根目录。 ASP.NET Core 应用程序没有控制器，仅托管 Angular 4 应用程序。这样做的原因是能够使用混合而不是隐式授予，这样令牌就不会被发送回浏览器。

现在，我可以将客户端配置为具有 HybridAndClientCredentials 的 MVC 应用程序。但它会在 Angular 方面起作用吗？如何知道用户是否经过身份验证，如何回调 API 后端，在 Angular 应用程序中从哪里获取访问令牌等。我有点困惑。我试图避免使用客户端 NPM 与 Angular 上的隐式流集成，因为我想在服务器上保留令牌。

感谢任何反馈。

谢谢

Answer 1

恐怕你处于一个不可能的境地。根据OAuth specs，必须与SPA'a 一起使用的流是隐式的。还有IdentityServer specs。

如果您转换为 MVC，您将失去 SPA 的功能。

实际上答案就在您的问题中 - where to get the Access Token in the Angular App。一旦你在 Angular 应用程序中得到它，它就已经暴露给用户了。但是如果没有它在 Angular 应用程序中，您将无法进行 Bearer 身份验证调用。

正如我所说 - 不可能的情况。如果我们想在这里搜索一些积极的东西，是不是访问令牌是一个短期令牌（或者至少建议如此）并且在几分钟后它已经过期。

PS：在 https 时代，“通过电缆”传输敏感信息更加安全（我不是说防弹），并且给用户访问令牌就像说他 Hey you have this permissions, your name is <name> 等等。他应该做的事情已经知道了。