identityserver4 - 在哪里存储客户端 secret ？

Question

我刚刚开始使用身份服务器，现在正在完成快速入门(提前为菜鸟问题道歉!)。

我的疑问来自这样一个事实，即在文档站点的所有快速入门中，客户端密码以明文形式出现在代码中，甚至在使用 EF 和 asp.net 身份存储配置和用户凭据的示例中也是如此。

我的直接 react 是在代码中存储 secret 是禁忌，但我可以看到缓解情况取决于我们正在谈论的客户端类型，例如如果客户端是托管的 mvc webapp，那么理论上代码在托管服务器上得到了很好的保护，但如果它是桌面客户端，那么它更容易受到例如反编译的影响。

我已经浏览了所有快速入门，也做了一些谷歌搜索，但我找不到任何类似于 asp.net 身份用户凭据(即存储在数据库中散列)的明确答案。我还搜索了身份服务器文档以找到有关此的任何指导，但没有找到任何指导(即使 secret 子主题也有代码中的 secret )。

所以我是不是什么都不担心，应该只用明文代码将 secret 粘贴在配置文件中，还是有更好的内置机制(比如asp.net身份的散列和存储在数据库或类似的地方)？

谢谢 :)

PS 这个问题适用于身份服务器代码以及客户端中的 secret 存储

Answer 1

除非您刚刚开始使用 Identity，否则您应该将所有客户端 secret 存储在您的数据库中。大多数初创公司使用 Config.cs 文件来存储所有这些，因为它只是本地测试。但是一旦您让 IS4 正常工作，您应该将其移动到您的数据库并存储密码的散列版本，以确保如果您的数据库被暴露，它们仍然是安全的。至于您的身份服务器代码，我将 secret 存储在 appSettings 中，您可以根据您的部署将其保密。