javascript - IdentityServer Authentication AspCore 和 Angular Client 最佳实践

Question

给定:

• Asp MVC 核心客户端
• 由 ASP MVC Core 托管的 JavaScript 客户端
• Asp 网络 API

所有人都在使用 IdentityServer 进行身份验证

问题

对于普通用户，身份验证是通过 asp 核心和 oidc 客户端完成的。我使用 asp core 中的访问 token 来访问 api。

现在一个 javascript 函数想要访问授权的 api，为此需要 access_token。

在 javascript 中拥有它的最佳实践是什么我主要看到两个选项

1.) 我使用 oidc 客户端在 javascript 中进行“静默”身份验证。 (感觉像是重复工作)

2.) 我将 access_token 存储在 cookie 中，JavaScript 可以在其中获取它(pot.unsecured)

3.)(感觉像一股气味)制作授权端点，如/me/token 返回 access_token

这种情况下的预期方式是什么？

Answer 1

您可以在 MVC View 上呈现一个配置 AJAX header 的脚本标记，这样您就可以使用您在 MVC 中拥有的 access_token 添加授权 header 。

token 是安全的，因为它们已签名，因此您可以在不知道签名 key 和时间限制的情况下更改它们。此外，在使用 token 之前需要验证 token 。