基于IdentityServer与C#保护API时客户端调用返回401问题咨询

• 直接原因：你当前的GetAccessToken方法逻辑完全错误，将申请Token的请求发到了自己受保护的API接口/api/v1/Test，而非Identity Server的Token端点/connect/token，你根本没有拿到合法的访问凭证，调用API自然返回401。
• 遗漏配置：你只在控制器加了[Authorize]特性，没有配置Scope校验逻辑，无法实现按Scope限定接口访问范围的需求。
• 缺失必填参数：即便你将请求地址改对，当前的POST参数中缺少grant_type=client_credentials，也无法成功拿到Token。

你的场景属于客户端凭证模式（Client Credentials Flow），是无用户参与的机器间调用标准方案，按照以下步骤调整即可：

1. Identity Server 前置配置 #

• 先在Identity Server中定义API Scope，比如api_read、api_write、api_full，将这些Scope关联到你注册的API资源（和API配置的ApiName对应）。
• 为每个调用方注册客户端，授权类型设置为ClientCredentials，分配对应允许的Scope，同时配置client_id和client_secret。

2. API 端配置调整 #

首先修改Startup.cs的配置，补充授权策略：

public void ConfigureServices(IServiceCollection services)
{
    // ... 其他服务配置
    services.AddAuthentication(IdentityServerAuthenticationDefaults.AuthenticationScheme)
        .AddIdentityServerAuthentication(options =>
        {
            options.Authority = apiSettings.Authority;
            options.ApiName = apiSettings.ApiName;
            options.ApiSecret = apiSettings.ApiSecret;
            // 开发环境如果用http协议，取消下面的注释，生产环境不要开
            // options.RequireHttpsMetadata = false;
            options.SupportedTokens = SupportedTokens.Jwt;
        });
    
    // 新增基于Scope的授权策略
    services.AddAuthorization(options =>
    {
        options.AddPolicy("ReadPolicy", policy => 
            policy.RequireClaim("scope", "api_read"));
        options.AddPolicy("WritePolicy", policy => 
            policy.RequireClaim("scope", "api_write"));
        options.AddPolicy("FullPolicy", policy => 
            policy.RequireClaim("scope", "api_full"));
    });
    
    services.AddControllers();
}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // ... 其他中间件配置
    // 注意顺序：认证要在授权前面
    app.UseAuthentication();
    app.UseAuthorization();
    
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

之后在对应的控制器/接口上指定策略即可：

// 读接口，只有带api_read scope的请求可以访问
[Authorize(Policy = "ReadPolicy")]
[HttpGet]
public IActionResult Get()
{
    return Ok();
}

// 写接口，只有带api_write scope的请求可以访问
[Authorize(Policy = "WritePolicy")]
[HttpPost]
public IActionResult Post()
{
    return Ok();
}

3. 客户端调用逻辑调整 #

客户端调用分两步：先向Identity Server申请Access Token，再携带Token调用API。
推荐安装IdentityModel NuGet包简化Token获取逻辑，代码如下：

using IdentityModel.Client;

// 第一步：获取Access Token
private static async Task<string> GetAccessToken(string idpAddress, string clientId, string clientSecret, string scope)
{
    using var client = new HttpClient();
    // 自动发现Identity Server端点，避免硬写路径
    var discoveryDoc = await client.GetDiscoveryDocumentAsync(idpAddress);
    if (discoveryDoc.IsError)
    {
        throw new Exception($"发现Identity Server端点失败：{discoveryDoc.Error}");
    }

    // 申请客户端凭证模式的Token
    var tokenResponse = await client.RequestClientCredentialsTokenAsync(new ClientCredentialsTokenRequest
    {
        Address = discoveryDoc.TokenEndpoint,
        ClientId = clientId,
        ClientSecret = clientSecret,
        Scope = scope
    });

    if (tokenResponse.IsError)
    {
        throw new Exception($"获取Token失败：{tokenResponse.Error}");
    }
    return tokenResponse.AccessToken;
}

// 第二步：携带Token调用API
private static async Task<string> CallApi(string apiUrl, string accessToken)
{
    using var client = new HttpClient();
    // 将Token添加到请求头，格式为Bearer {token}
    client.SetBearerToken(accessToken);
    var response = await client.GetAsync(apiUrl);
    response.EnsureSuccessStatusCode();
    return await response.Content.ReadAsStringAsync();
}

scope参数说明 #

客户端凭证模式下，scope是必填项：

• 你申请的scope必须是Identity Server中分配给当前客户端的允许scope，否则会返回invalid_scope错误
• Token中会包含你申请的scope，API端会基于配置的策略校验scope是否匹配，实现权限控制

4. Blazor端逻辑说明 #

你贴的Blazor代码属于带用户参与的交互式认证场景，和当前机器对机器的场景完全不同：
IAccessTokenProvider会自动处理当前登录用户的Token获取、scope附加、自动刷新等逻辑，用户已经在Blazor端完成了身份认证，因此不需要额外传递client_id和client_secret，不要和客户端凭证模式的逻辑混淆。

• 确认API的中间件顺序：app.UseAuthentication()必须放在app.UseAuthorization()前面
• 确认API配置的Authority和Identity Server的地址完全一致，开发环境用http的话要关闭RequireHttpsMetadata
• 确认Token中包含的scope和接口要求的策略匹配
• 确认Identity Server中注册的API资源名称和API配置的ApiName完全一致

内容的提问来源于stack exchange，提问作者Enrico