Given:
-
Asp MVC核心客户端
-
由ASP MVC Core托管的JavaScript客户端
-
Asp Web Api
所有都使用IdentityServer进行身份验证
Problem
对于普通用户，使用asp核心和oidc客户端完成auth . 我在asp核心中使用访问令牌来访问api .
现在，javascript函数想要访问授权的api，并且需要access_token .
在javascript中使用它的最佳做法是什么我主要看两个选项
1.）我使用oidc客户端在javascript中进行“静默”验证 . （感觉像重复的工作）
2.）我将access_token存储在一个cookie中，javascript可以将其取出（pot.unsecured）
3.）（感觉像嗅觉）使像/ me / token这样的授权 endpoints 返回access_token
这种情况下的预期方式是什么？
1 回答
您可以在MVC视图上呈现一个脚本标记，用于配置您的AJAX标头，以便您可以使用MVC中的access_token添加授权标头 .
代币是安全的，因为它们是签名的，因此您可以在不知道签名和时间限制的情况下更改它们 . 在您使用它们之前，还需要验证令牌 .