如何在WebAPI中使用OAuth 2 Access Token？OIDC与角色授权疑问

1. 配置身份验证中间件 #

以ASP.NET Core为例，在Program.cs中添加JWT验证配置，关联你的OIDC身份提供商，通过JWKS获取公钥来验证令牌签名：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "你的OIDC提供商地址";
        options.Audience = "你的API受众标识";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true
        };
    });

// 启用身份验证与授权中间件
app.UseAuthentication();
app.UseAuthorization();

2. 控制器/接口层面的授权控制 #

在需要保护的控制器或Action上添加[Authorize]特性，自动拦截未携带有效AccessToken的请求：

[ApiController]
[Route("api/[controller]")]
[Authorize] // 整个控制器需授权才能访问
public class UserController : ControllerBase
{
    [HttpGet("profile")]
    public IActionResult GetUserProfile()
    {
        // 从HttpContext获取已验证的用户身份信息
        var userId = User.FindFirstValue(ClaimTypes.NameIdentifier);
        var userEmail = User.FindFirstValue(ClaimTypes.Email);
        return Ok(new { UserId = userId, Email = userEmail });
    }

    [HttpGet("admin")]
    [Authorize(Roles = "Admin")] // 仅Admin角色可访问此接口
    public IActionResult GetAdminData()
    {
        return Ok("仅管理员可见的敏感数据");
    }
}

3. 客户端携带AccessToken的方式 #

客户端请求时需在请求头中添加Authorization: Bearer {你的AccessToken}，比如Postman测试时直接在Headers栏配置该字段。

必须使用AccessToken，二者是身份验证+权限细分的互补关系：

• AccessToken负责验证身份合法性：证明请求者是系统已注册用户、令牌未过期且签名有效，是所有授权逻辑的前提。
• 角色授权是身份验证通过后的权限细分：用来限制不同角色用户的操作范围，比如管理员可访问的接口普通用户无法进入。

没有有效AccessToken的请求连身份验证都无法通过，更谈不上角色权限校验；仅靠AccessToken没有角色控制，无法区分用户权限等级，会带来安全风险。

内容的提问来源于stack exchange，提问作者AWEInCA