IdentityServer4使用Client_Credentials模式参考令牌如何获取Claims

问题根因说明 #

• userinfo端点是OAuth2协议中专门用于获取用户主体相关声明的端点，要求令牌必须携带sub（用户唯一标识）声明，而client_credentials是纯客户端之间的授权流程，本身不涉及用户主体，生成的令牌天然没有sub，无法调用该端点属于预期行为。
• introspection（自省）端点默认仅对已注册的API资源开放，普通客户端默认没有调用权限，因此调用时会返回401未授权。

可行实现方案（按优先级从高到低排列） #

方案1：开放控制台客户端的introspection端点调用权限（最符合规范）

该方案不需要改动现有核心逻辑，完全符合IdentityServer4的设计规则，操作步骤如下：

1. 修改IdentityServer4中控制台客户端的配置，添加AllowIntrospection = true的配置项，允许该客户端调用自省端点，内存配置示例：

new Client
{
    ClientId = "your_console_client_id",
    AllowedGrantTypes = GrantTypes.ClientCredentials,
    ClientSecrets = { new Secret("your_client_secret".Sha256()) },
    // 原有其他配置（允许的作用域、令牌过期时间等）
    AllowIntrospection = true // 核心配置，开启客户端自省权限
}

2. 控制台客户端调用introspection端点时，使用自身的客户端ID、客户端密钥做Basic认证，同时传入参考令牌即可获取所有关联Claims，使用IdentityModel客户端库的代码示例：

var introspectClient = new HttpClient();
var introspectResult = await introspectClient.IntrospectTokenAsync(new TokenIntrospectionRequest
{
    Address = "https://your_ids4_domain/connect/introspect",
    ClientId = "your_console_client_id",
    ClientSecret = "your_client_secret",
    Token = your_reference_token_value
});

if (!introspectResult.IsError && introspectResult.IsActive)
{
    var claims = introspectResult.Claims; // 此处即可拿到令牌对应的所有声明
}

方案2：自定义令牌响应，直接返回Claims

如果你的场景不需要频繁校验令牌有效性，仅需要在获取令牌时一次性拿到Claims，可以通过自定义IdentityServer的令牌响应生成逻辑实现：

1. 实现ICustomTokenResponseGenerator接口，在ProcessAsync方法中判断当前授权类型为client_credentials时，将生成的参考令牌对应的Claims添加到令牌响应的自定义字段中。
2. 控制台客户端请求令牌时直接从响应的自定义字段中读取Claims，无需额外调用其他端点。
   该方案优点是减少一次接口调用，缺点是无法实时感知令牌吊销状态，适合对令牌实时性要求不高的场景。

方案3：自定义Claims获取端点

如果上述两个方案不符合你的安全策略，可以在IdentityServer4端自行开发一个受保护的自定义端点：

• 端点要求调用方传入合法的客户端凭证和参考令牌
• 服务端校验客户端权限、令牌有效性后，返回该令牌对应的Claims
  该方案灵活性最高，但需要额外开发和维护自定义逻辑。

不推荐操作：不要为client_credentials模式的令牌强行添加sub声明尝试调用userinfo端点，该操作不符合OAuth2协议设计，会引入额外的安全隐患。

内容的提问来源于stack exchange，提问作者user1474992