MVC 和身份服务器中的 AJAX 调用

Question

我一直在玩 Thinktecture IdentityServer3，并且很想使用它，因为它看起来很棒。但是，我不完全理解如何完成我的流程，这可能很常见:

• 使用隐式流程创建身份服务器
• 设置 MVC 网站
• 设置单独的 Web API

到目前为止一切顺利，如网站上的示例所示。我现在希望直接使用 AJAX 调用来调用 API，但为此我需要一个访问 token 。必须通过 MVC 站点本身路由它们似乎是一个很大的开销(同样，在示例中)。

我怎样才能完成这个流程？它会本质上混合 MVC 和 Javascript 客户端示例，还是有更流畅的方式让用户只需登录一次？也许在隐藏字段中发送访问 token ，但它会如何更新？

任何有助于理解这一点的帮助都会很棒。

Answer 1

我设法提出了一个似乎有效的解决方案，但不确定它是否是最佳实践...

• 在 AJAX/AccessToken 上公开 MVC 站点上的方法
• 应使用 Authorize 属性锁定方法，以确保站点的 MVC 部分使用 IdentityServer 进行正确身份验证
• 方法通过 MVC Controller 返回通过上述调用生成的用户访问 token
• 在 JavaScript 中，只需使用此端点获取访问 token ，然后手动调用 API
• 获取访问 token 的调用应该是安全的，因为它在与 MVC 站点本身相同的域/身份验证模型中

我在这里为任何感兴趣的人提供了一个样本: OIDC-Website