如何通过代码连接OpenID Connect服务器获取JWT Claims？

你要实现的是后台无交互的WebAPI-to-WebAPI认证，这类场景不适合用你贴出的授权码流程（需要前端跳转、用户手动登录），而是应该用OpenID Connect的**资源所有者密码凭证授权（Resource Owner Password Credentials Grant, ROPC）**流程——直接通过代码传递用户账号密码获取令牌，同时满足指定用户登录的需求。

核心实现步骤 #

• 确认认证服务器支持ROPC：首先要确保你的OpenID认证服务器开启了ROPC流程（部分公共服务商不支持此流程，因为涉及明文凭证传递，仅适合内部信任系统）。
• 构造令牌请求：向认证服务器的/token端点发送POST请求，携带以下参数：
  • grant_type: 固定为password
  • client_id: 你的API客户端ID
  • client_secret: 你的API客户端密钥（如果是保密客户端）
  • username: 指定的用户账号
  • password: 用户密码
  • scope: 所需权限范围，至少包含openid（用于获取ID Token）
• 处理响应并解析Claims：成功请求后会返回包含id_token、access_token的响应，解析id_token即可拿到用户Claims。

代码示例（C#） #

using System.Net.Http.Headers;
using System.Text;
using System.Text.Json;

var httpClient = new HttpClient();
var tokenEndpoint = "https://your-auth-server/token";

// 构造请求参数
var requestBody = new Dictionary<string, string>
{
    ["grant_type"] = "password",
    ["client_id"] = "your-client-id",
    ["client_secret"] = "your-client-secret",
    ["username"] = "target-user@example.com",
    ["password"] = "user-password",
    ["scope"] = "openid email profile"
};

var content = new FormUrlEncodedContent(requestBody);
var response = await httpClient.PostAsync(tokenEndpoint, content);
response.EnsureSuccessStatusCode();

var responseJson = await response.Content.ReadAsStringAsync();
var tokenResponse = JsonSerializer.Deserialize<TokenResponse>(responseJson);

// 解析ID Token中的Claims
var handler = new System.IdentityModel.Tokens.Jwt.JwtSecurityTokenHandler();
var jwtToken = handler.ReadJwtToken(tokenResponse.IdToken);
var userClaims = jwtToken.Claims.ToList();

// 输出示例Claims
foreach (var claim in userClaims)
{
    Console.WriteLine($"{claim.Type}: {claim.Value}");
}

// 定义响应模型
public class TokenResponse
{
    [JsonPropertyName("id_token")]
    public string IdToken { get; set; }
    [JsonPropertyName("access_token")]
    public string AccessToken { get; set; }
    [JsonPropertyName("token_type")]
    public string TokenType { get; set; }
    [JsonPropertyName("expires_in")]
    public int ExpiresIn { get; set; }
}

注意事项 #

• ROPC流程仅适用于高度信任的内部系统，因为需要直接传递用户明文密码，存在凭证泄露风险。
• 如果你的认证服务器不支持ROPC，可考虑使用Client Credentials Grant（但此流程基于客户端身份，而非用户身份，无法获取用户Claims），或者调整架构引入中间认证服务。
• 解析令牌时，建议验证令牌的签名、有效期、受众等信息，确保令牌的合法性，不要直接信任未验证的Claims。

内容的提问来源于stack exchange，提问作者T.S.