IdentityServer4：API中如何正确配置ClientId与ClientSecret？

为什么部分API配置无需ClientId/ClientSecret？ #

你看到的第一种配置（直接用AddJwtBearer），核心是验证JWT令牌本身的合法性：

• API通过配置的Authority地址，从IdentityServer获取公钥，用来验证JWT的签名是否有效
• Audience用来确保令牌是颁发给当前API的
• 这种场景下，令牌是用户授权后获得的JWT，本身包含了身份、权限等信息，API不需要和IdentityServer做额外的客户端认证，自然不需要ClientId和ClientSecret

使用IdentityServer4.AccessTokenValidation时ApiSecret不生效的原因及解决 #

问题根源 #

IdentityServer4.AccessTokenValidation包的ApiSecret参数，只对**引用令牌（Reference Token）**生效：

• 引用令牌是一串不包含用户信息的随机字符串，API需要拿着这个令牌和ApiSecret去IdentityServer验证合法性
• 如果你的API接收的是默认的JWT令牌，API会直接验证令牌签名和受众，完全不会用到ApiSecret，所以即使填错也不会触发401

解决方法 #

根据你的需求选择两种方案：

方案1：启用引用令牌验证

如果必须用ApiSecret做验证，需要同时修改IdentityServer和API的配置：

1. IdentityServer端：配置API资源为引用令牌类型

new ApiResource("api1")
{
    AccessTokenType = AccessTokenType.Reference,
    ApiSecrets = { new Secret("secret".Sha256()) },
    Scopes = { "api1" }
}

2. API端：确保ApiSecret和IdentityServer配置的一致，此时API会自动向IdentityServer验证引用令牌的合法性，Secret错误时会返回401

方案2：JWT令牌下限制客户端访问

如果继续使用JWT令牌，想要限制只有指定客户端能访问API，可以通过自定义令牌验证逻辑检查令牌中的client_id声明：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options =>
{
    options.Authority = "[identity server url]";
    options.Audience = "[api resourse name]";
    options.RequireHttpsMetadata = false;

    options.Events = new JwtBearerEvents
    {
        OnTokenValidated = context =>
        {
            // 从令牌中获取客户端ID
            var clientId = context.Principal.FindFirst("client_id")?.Value;
            // 定义允许访问的客户端列表
            var allowedClients = new[] { "your-allowed-client-id-1", "your-allowed-client-id-2" };
            
            if (!allowedClients.Contains(clientId))
            {
                context.Fail("当前客户端无权访问此API");
            }
            return Task.CompletedTask;
        }
    };
});

内容的提问来源于stack exchange，提问作者serhatyt