同应用下IdentityServer7与Asp.Net Identity的API授权配置问题

1. 是否与AddAuthentication的Challenge逻辑相关？ #

是的，完全相关。Duende IdentityServer默认注册的Cookie认证处理器是为**交互式场景（如Razor Pages、MVC视图）**设计的，未授权时会触发重定向到登录页的Challenge逻辑。而你的用户管理API需要返回401未授权响应，这就需要针对API场景修改或补充认证配置，调整Challenge的行为。

2. 同应用内存在授权API是否会产生冲突？ #

不会冲突，但需要明确区分不同场景的认证规则。IdentityServer本身就包含多个API端点（如令牌、发现端点），和你的用户管理API共存是完全可行的。关键是要为API指定独立的认证方案，或者通过逻辑判断区分API请求和交互式页面请求，避免两者的认证行为互相干扰。

3. 是否需要拆分用户管理为资源？能否保留在同一应用？ #

不需要拆分，完全可以将用户管理API保留在同一应用中。你可以通过两种方案实现需求：

方案一：为API配置独立的JwtBearer认证 #

利用IdentityServer颁发的JWT令牌保护用户管理API，和Razor Pages的Cookie认证共存：

builder.Services.AddAuthentication()
    // 保留IdentityServer自动注册的Cookie认证方案
    .AddJwtBearer(JwtBearerDefaults.AuthenticationScheme, options =>
    {
        options.Authority = "https://localhost:5001"; // 指向当前应用的IdentityServer地址
        options.Audience = "user-management-api"; // 在IdentityServer中注册的API资源名称
    });

// 为用户管理API创建专属授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("UserManagementApiPolicy", policy =>
    {
        policy.AuthenticationSchemes.Add(JwtBearerDefaults.AuthenticationScheme);
        policy.RequireAuthenticatedUser();
        // 可额外添加角色/权限要求，如policy.RequireRole("Admin");
    });
});

之后在用户管理API的控制器/方法上使用：

[Authorize(Policy = "UserManagementApiPolicy")]
public IActionResult UpdatePhone(UpdatePhoneRequest request)
{
    // 业务逻辑
}

这种方案下，API未授权时会返回401，Razor Pages仍保持重定向登录页的行为。

方案二：修改Cookie认证的Challenge行为 #

如果不想引入JWT，也可以直接修改现有Cookie认证的跳转逻辑，根据请求类型动态返回响应：

builder.Services.ConfigureApplicationCookie(options =>
{
    options.Events.OnRedirectToLogin = context =>
    {
        // 判断是否为API请求（可通过路径前缀、Accept头或其他标识区分）
        bool isApiRequest = context.Request.Path.StartsWithSegments("/api") || 
                            context.Request.Headers["Accept"].Contains("application/json");
        
        if (isApiRequest)
        {
            context.Response.StatusCode = StatusCodes.Status401Unauthorized;
            return Task.CompletedTask;
        }
        
        // 非API请求仍按原逻辑重定向到登录页
        context.Response.Redirect(context.RedirectUri);
        return Task.CompletedTask;
    };
});

这种方案无需额外认证方案，直接复用Cookie认证，适合不需要对外暴露API、仅内部调用的场景。

另外，Asp.Net Identity的用户存储可以直接和IdentityServer共享同一数据库（IdentityServer支持使用Asp.Net Identity作为用户源），所以用户管理API可以直接注入UserManager<TUser>等服务完成用户操作，无需额外拆分资源或数据库。

内容的提问来源于stack exchange，提问作者JasperDaDolphin