IdentityServer4：同意页面POST动作中修改Token的相关问题

问题1：是否可在同意控制器POST动作中获取当前Token？ #

不能直接获取已生成的Token。你看到的state参数是IdentityServer4用来关联授权请求上下文的标识，并非存储Token的容器。Token的生成逻辑是在用户完成同意操作之后，由AuthorizationEndpoint处理请求时才会创建，所以在同意控制器的POST动作执行阶段，Token还未生成，此时只能获取到授权请求的上下文数据（比如客户端信息、用户身份、请求范围等）。

问题2：如何在同意后向Token添加额外声明？ #

不要试图在同意控制器的POST动作中直接修改Token，IdentityServer4提供了标准的扩展点来实现这个需求，推荐两种方式：

方式一：通过IProfileService扩展用户声明 #

这是添加用户相关声明的核心扩展点，可根据授权上下文动态补充声明：

1. 实现IProfileService接口，重写GetProfileDataAsync方法：

public class CustomProfileService : IProfileService
{
    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        // 获取当前用户的基础声明
        var existingClaims = context.Subject.Claims.ToList();
        
        // 可根据授权上下文（如客户端ID、请求范围）添加自定义声明
        if (context.Client.ClientId == "your_client_id")
        {
            existingClaims.Add(new Claim("custom_claim", "custom_value"));
        }
        
        // 还可从同意阶段存储的上下文数据中读取信息（见下方补充）
        var customData = context.Properties?.Items["custom_data"];
        if (!string.IsNullOrEmpty(customData))
        {
            existingClaims.Add(new Claim("custom_data", customData));
        }
        
        context.IssuedClaims = existingClaims;
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        context.IsActive = true;
    }
}

2. 在Startup.cs中注册该服务：

services.AddScoped<IProfileService, CustomProfileService>();

方式二：通过ICustomTokenRequestValidator干预Token请求 #

如果需要在Token生成前对请求做更灵活的处理，可实现ICustomTokenRequestValidator：

public class CustomTokenRequestValidator : ICustomTokenRequestValidator
{
    public async Task ValidateAsync(CustomTokenRequestValidationContext context)
    {
        // 向Subject添加自定义声明，会被包含在Token中
        context.Result.ValidatedRequest.Subject.AddClaim(new Claim("custom_claim", "custom_value"));
    }
}

注册服务：

services.AddScoped<ICustomTokenRequestValidator, CustomTokenRequestValidator>();

补充：在同意控制器中传递自定义数据到Token生成环节 #

如果需要基于用户在同意页面的操作动态添加声明，可在同意控制器的POST动作中，将自定义数据存入授权请求上下文：

public async Task<IActionResult> Index(ConfirmConsentInputModel model)
{
    var context = await _interaction.GetAuthorizationContextAsync(model.State);
    // 存储自定义数据到上下文属性
    context.Properties.Items["custom_data"] = "user_selected_value";
    await _interaction.UpdateAuthorizationContextAsync(context);
    
    // 执行同意逻辑
    var result = await _interaction.GrantConsentAsync(context, model);
    if (result.IsRedirect)
    {
        return Redirect(result.RedirectUri);
    }
    // 其他逻辑...
}

之后就可以在IProfileService或ICustomTokenRequestValidator中读取该数据，添加为Token声明。

内容的提问来源于stack exchange，提问作者developer82