.NET Core API如何基于IdentityServer生成访问令牌实现后端鉴权

当前无前端交互的独立后端场景，用客户端凭证授权模式即可直接获取可访问受保护API接口的有效令牌，适配Swagger认证要求，具体实现步骤如下：

1. 调整IdentityServer客户端配置 #

此前前端能正常获取令牌说明IdentityServer基础服务运行正常，只需要新增一个适配无交互场景的客户端配置即可，支持内存配置或数据库配置，示例配置如下：

// IdentityServer配置的Client节点新增以下内容
new Client
{
    ClientId = "backend_direct_call",
    // 指定授权模式为客户端凭证，无需登录跳转交互
    AllowedGrantTypes = GrantTypes.ClientCredentials,
    // 配置客户端密钥，生产环境建议用哈希存储
    ClientSecrets = { new Secret("your_custom_client_secret".Sha256()) },
    // 配置允许该客户端访问的API Scope，替换为项目实际的API权限标识
    AllowedScopes = { "your_api_access_scope" }
}

2. 获取有效令牌 #

两种方式按需选择即可：

方式1：工具直连令牌端点获取（适配Swagger调试场景） #

直接构造POST请求调用IdentityServer标准令牌端点，不需要额外写业务代码：

• 请求地址：{你的IdentityServer服务根地址}/connect/token
• 请求方法：POST
• 请求头：Content-Type: application/x-www-form-urlencoded
• 请求表单参数：
  • client_id: backend_direct_call
  • client_secret: 配置的明文密钥your_custom_client_secret
  • grant_type: client_credentials
  • scope: 项目实际的API权限标识your_api_access_scope
    请求成功后响应体中的access_token字段就是有效JWT令牌，直接复制粘贴到Swagger的认证输入框即可正常访问受保护接口。

方式2：后端服务内置自动获取（适配后端独立运行逻辑调用场景） #

如果需要后端运行过程中自动完成令牌获取、续期，可直接集成官方组件实现：

1. 给API项目安装Nuget包IdentityModel.AspNetCore
2. 在Program.cs中注册令牌管理服务：

builder.Services.AddAccessTokenManagement(options =>
{
    options.Client.Clients.Add("id4_client", new ClientCredentialsTokenRequest
    {
        Address = new Uri(new Uri("你的IdentityServer服务根地址"), "/connect/token").ToString(),
        ClientId = "backend_direct_call",
        ClientSecret = "your_custom_client_secret",
        Scope = "your_api_access_scope"
    });
});

3. 业务逻辑中需要使用令牌时，直接注入IClientAccessTokenManagement服务，调用GetClientAccessTokenAsync("id4_client")方法即可拿到有效令牌，组件会自动缓存令牌、过期自动刷新，不需要手动处理生命周期。

常见问题排查 #

• 令牌请求返回400错误：先检查传入的scope是否已在IdentityServer的ApiScope资源中注册，且已加入对应客户端的AllowedScopes列表
• 拿到令牌访问接口返回401：检查API项目中JWT Bearer认证配置的Authority地址、Audience校验规则是否和IdentityServer签发的令牌匹配，注意服务地址不要写错http/https、不要漏端口
• Swagger认证不通过：检查Swagger配置的安全方案是否自动给请求加了Bearer 前缀，前缀和令牌之间需要保留一个半角空格

Swagger认证令牌填写示例：

内容的提问来源于stack exchange，提问作者Guilherme silva