Identity Server 4：如何为现有引用式访问令牌添加角色（无需新令牌）

引用式访问令牌的核心特征是：令牌本身不内嵌任何Claims数据，所有用户权限信息（包括角色）都存储在Identity Server的持久化存储（比如数据库）中。因此要给现有令牌添加新角色，根本不需要重新生成令牌，只需要修改对应存储的Claims记录即可，具体步骤如下：

• 定位目标令牌的存储记录
  找到Identity Server默认存储引用令牌的PersistedGrants表，通过令牌ID、关联的用户ID或客户端ID筛选出目标令牌的条目。该条目的Data字段是一个JSON字符串，里面包含了令牌绑定的所有Claims数据。

• 更新Claims数据
  解析Data字段的JSON内容，找到Claims数组，添加一条新的角色Claim，格式为：

  {"type": "role", "value": "你的新角色名称"}
  

  将修改后的JSON重新序列化，覆盖回PersistedGrants表对应条目的Data字段。

• 验证修改生效
  当客户端使用该令牌调用introspect端点做验证时，Identity Server会从存储中读取更新后的Claims并返回；资源服务器在验证令牌权限时，也会获取到新增的角色信息。如果Identity Server开启了令牌缓存，可能需要手动清除对应缓存，确保修改立即生效。

关键注意点 #

• 该方法仅适用于引用式令牌，自包含的JWT令牌无法通过此方式修改——因为JWT的Claims是内嵌在令牌中的，必须重新生成新令牌才能更新权限。
• 修改PersistedGrants表时要注意数据完整性，不要破坏其他关联的令牌信息。

内容的提问来源于stack exchange，提问作者Strig