Asgardeo是否支持动态客户端注册？求无需共享客户端凭证的令牌方案

Asgardeo支持动态客户端注册，这是解决多用户共享客户端凭证安全问题的核心方案之一，同时还有多种无需向用户分发Client ID/Secret的令牌获取方式，具体如下：

一、动态客户端注册方案 #

通过Asgardeo的动态客户端注册API，由你的可信后端服务为每个用户生成专属的客户端凭证：

• 后端服务使用自身持有的主应用凭证（或预先配置的可信认证方式）调用注册API，为单个用户创建独立的客户端
• 可自定义每个动态客户端的权限范围、有效期、重定向URI等属性，遵循最小权限原则
• 用户使用专属的客户端凭证请求令牌，无需接触主应用的敏感凭证，彻底避免共享风险
• 可在Asgardeo控制台配置动态注册准入规则，比如限制请求来源IP、设置认证方式，保障注册过程的安全性

二、无需共享凭证的令牌获取方式 #

1. 授权码流（PKCE模式） #

专为原生应用、单页应用等无法安全存储客户端凭证的场景设计：

• 用户发起授权请求时，本地生成code_verifier（随机字符串）和对应的code_challenge（哈希后的字符串）
• 授权成功后，Asgardeo返回授权码，用户使用code_verifier和授权码交换访问令牌
• 全程无需暴露Client Secret，公开客户端场景下甚至仅需使用Client ID即可完成流程

2. 后端代签的客户端凭证流 #

由你的后端服务持有主应用的Client ID/Secret，作为中间代理处理令牌请求：

• 用户向你的后端服务发起令牌请求（携带自身身份信息）
• 后端服务以客户端身份向Asgardeo申请令牌，获取后返回给用户
• 用户全程无法接触主应用的敏感凭证，后端可对请求做额外校验（比如用户权限验证）

3. 密码授权流（仅限内部可信场景） #

如果是内部高度可信的应用，可让用户使用自身的用户名和密码直接请求令牌：

• 用户向Asgardeo的令牌端点发送包含用户名、密码、客户端ID的请求
• 验证通过后直接返回访问令牌，无需传递Client Secret
• 注意：该方式存在用户名密码泄露风险，仅适合内部封闭环境使用

内容的提问来源于stack exchange，提问作者Kanishka Gunawardana Intern