基于Identity Server4预认证本地Angular应用免登调用.Net Core WebAPI

完全可以实现Kiosk场景下的无手动登录预认证，该方案适配你的本地+跨节点混合访问需求，不需要修改现有核心业务逻辑，改动量极小。

实现前提 #

你的场景属于物理可控的封闭Kiosk设备，不存在用户随意调试前端、篡改代码的风险，因此可以用轻量的授权流程实现预认证，不需要遵循公开互联网应用的高安全级别的授权规范。

3步最简实现步骤 #

1. Identity Server 4 侧配置 #

仅需要新增一个专用客户端配置，不需要修改现有其他配置：

• 客户端ID自定义为比如 local_kiosk_angular
• 授权类型配置为 GrantTypes.ResourceOwnerPassword（密码模式）
• 开启AllowAccessTokensViaBrowser = true，设置RequireClientSecret = false（适配前端调用场景，不需要传递客户端密钥减少复杂度）
• 允许的Scope仅开放本地WebAPI的硬件操作相关权限，不要开放跨节点监控、管理类的Scope
• 单独创建一个Kiosk专用的本地用户，仅分配硬件操作的最小权限，和跨节点访问的管理员账号做权限隔离

2. Angular 侧预认证逻辑 #

不需要集成完整的OIDC认证库，仅需要在应用初始化阶段完成自动拿 token 即可：

• 利用Angular的APP_INITIALIZER钩子，在应用启动前自动发起请求到IDS4的/connect/token端点
• 请求格式固定如下，直接传预配置的Kiosk专用账号密码即可：

  // 初始化阶段的请求体示例
  const tokenReqBody = new URLSearchParams();
  tokenReqBody.set('grant_type', 'password');
  tokenReqBody.set('client_id', 'local_kiosk_angular');
  tokenReqBody.set('username', '你的Kiosk专用用户名');
  tokenReqBody.set('password', '你的Kiosk专用密码');
  tokenReqBody.set('scope', '你的WebAPI授权Scope');
  

• 拿到access_token后存在内存或sessionStorage中，后续调用WebAPI时自动带入Authorization: Bearer <token>请求头即可

3. WebAPI 侧无改动 #

现有基于Identity Server 4的鉴权逻辑完全不需要调整，正常校验token合法性、按账号权限处理请求即可，不影响原有跨节点访问、监控的功能。

可选安全优化 #

如果不想在Angular前端代码中写入固定密码，可以在树莓派本地新增一个100行以内的极简代理服务：

• 代理服务部署在本地，用ClientCredentials（客户端凭证）模式向IDS4请求token
• Angular启动时仅需要请求本地代理拿token，不需要存储任何密码、密钥，安全等级更高，整体实现复杂度也很低。

内容的提问来源于stack exchange，提问作者nbren007