限制SCIM协议能力仅支持用户删除操作

一、限制SCIM发现元数据，仅暴露用户停用操作 #

SCIM的服务发现元数据（通常通过/.well-known/scim-service-config端点返回）是IDP识别系统支持操作的核心，要仅暴露用户停用操作，需修改该元数据的核心字段：

• 在resourceTypes数组中，针对User资源的配置里，仅保留DELETE操作声明，移除POST、PUT、PATCH等不需要的操作项
• 确保返回的元数据中，User资源的supportedOperations数组只包含DELETE
• 简化示例元数据：

  {
    "schemas": ["urn:ietf:params:scim:schemas:core:2.0:ServiceProviderConfig"],
    "resourceTypes": [
      {
        "name": "User",
        "endpoint": "/Users",
        "supportedOperations": [
          {
            "name": "DELETE"
          }
        ]
      }
    ]
  }
  

• 具体配置位置：自定义实现的话直接修改服务配置端点的返回内容；用现成SCIM框架（如Microsoft.AspNetCore.Scim）的话，一般在服务注册阶段通过配置类限制支持的操作。

二、SCIM是否必须支持用户查询功能？ #

SCIM核心规范（RFC 7643/7644）没有强制要求必须实现用户查询功能，但部分IDP会依赖查询验证用户状态或做前置检查。如果你的场景仅需停用操作：

• 可以不实现完整的列表查询，但建议至少支持单个用户的GET查询（根据用户ID获取详情），避免部分IDP因无法确认用户存在而拒绝发起Delete请求
• 若完全不想支持查询，返回405 Method Not Allowed比BadRequest语义更准确

三、SCIM用户控制器的实现建议 #

无需只保留Get和Delete方法，针对不同HTTP方法返回对应语义的错误即可：

• POST（创建用户）：返回405 Method Not Allowed或403 Forbidden，明确告知不支持创建操作
• PUT/PATCH（更新用户）：同样返回405 Method Not Allowed（注意：若停用是通过修改用户状态实现，需和IDP约定用Delete还是PATCH，避免逻辑歧义）
• GET：按需实现单用户查询，否则返回405
• DELETE：正常实现用户停用逻辑（标记禁用/软删除均可，按业务需求）

伪代码示例：

[HttpDelete("{id}")]
public IActionResult DeleteUser(string id)
{
    // 执行用户停用逻辑
    return Ok();
}

[HttpPost]
public IActionResult CreateUser()
{
    return StatusCode(StatusCodes.Status405MethodNotAllowed);
}

[HttpPut("{id}")]
public IActionResult UpdateUser(string id)
{
    return StatusCode(StatusCodes.Status405MethodNotAllowed);
}

[HttpPatch("{id}")]
public IActionResult PatchUser(string id)
{
    return StatusCode(StatusCodes.Status405MethodNotAllowed);
}

内容的提问来源于stack exchange，提问作者User20909