当Access Token不含用户信息时，如何在WebAPI中访问用户特定资源？

问题1：是否将用户权限通过请求体/查询参数发送给WebAPI并让其信任这些权限？ #

绝对不建议这么做。请求体或查询参数完全可以被篡改，WebAPI直接信任的话等于彻底放弃权限校验的安全性，任何恶意用户都能伪造权限信息访问敏感资源，直接导致权限体系失效，严重违反安全原则。

问题2：是否应使用Access Token调用Identity Server获取用户信息，确认权限后再执行操作？ #

这是可行的，但需要权衡性能与安全：

• 优势：能确保获取的用户权限是最新的，尤其适合权限动态变更的场景（比如管理员刚调整了用户权限）。
• 劣势：每次请求都调用Identity Server会增加额外网络开销，拖慢WebAPI响应速度，高并发场景下可能成为性能瓶颈。如果采用这种方式，建议做好缓存策略，比如缓存用户权限信息一段时间，减少重复调用次数。

问题3：还有其他可行方案吗？ #

有几个更优的实践方案：

• 自定义Access Token内容，嵌入必要Claims：在Identity Server的资源配置中，针对你的WebAPI添加自定义权限相关Claims（比如tenant_admin: true、allowed_resources: ["job_post_123"]）。这样Access Token本身就携带权限信息，WebAPI只需验证Token签名（确保未被篡改），直接解析Claims完成权限校验，无需额外请求，性能最优。注意控制Token大小，不要嵌入过多非必要数据。
• 搭建独立权限服务：基于RBAC（角色权限控制）或ABAC（属性权限控制）模型搭建独立权限服务，WebAPI从Token中获取用户唯一标识（sub）、租户ID，结合请求的资源ID，调用权限服务查询用户是否具备对应权限。这种方式适合权限规则复杂、频繁变动的场景，权限逻辑集中管理，便于维护和迭代。
• 本地缓存权限信息：如果无法修改Access Token内容，WebAPI可以从Id Token中提取用户标识和租户信息，然后本地缓存该用户的权限数据，定期与Identity Server或权限服务同步更新。这种方式既能减少外部依赖，又能保证权限信息的时效性。

内容的提问来源于stack exchange，提问作者Smith Waliko Msiska