如何在IdentityServer4中实现用户级别的API资源访问限制？

我之前刚好遇到过和你类似的需求——想在IdentityServer4里实现类似Azure AD那样的用户-API资源绑定，用户请求令牌时如果没有目标API的访问权限，直接拒绝颁发。结合你的场景（Angular SPA + 隐式流），给你分享两个最直接的实现思路：

方案一：自定义授权请求验证器（推荐，完全匹配你的需求） #

这个方案是在授权请求阶段就拦截校验，用户如果没有目标API的权限，根本拿不到令牌，完全符合你要的“一级校验”需求。

具体步骤： #

1. 准备权限数据：在数据库中创建一张关联表（比如UserApiPermissions），记录每个用户ID对应的可访问API资源名称（要和IdentityServer里配置的API资源名称完全一致）。
2. 实现IAuthorizationRequestValidator接口：这个接口是IdentityServer4校验授权请求的核心扩展点，我们可以在这里加入自定义的权限检查逻辑。

代码示例：

public class CustomApiAuthorizationValidator : IAuthorizationRequestValidator
{
    // 注入默认验证器和自定义权限查询服务
    private readonly IAuthorizationRequestValidator _defaultValidator;
    private readonly IUserApiPermissionStore _permissionStore;

    public CustomApiAuthorizationValidator(IAuthorizationRequestValidator defaultValidator, 
                                           IUserApiPermissionStore permissionStore)
    {
        _defaultValidator = defaultValidator;
        _permissionStore = permissionStore;
    }

    public async Task<AuthorizationRequestValidationResult> ValidateAsync(AuthorizationRequestValidationContext context)
    {
        // 先执行IdentityServer默认的授权请求校验
        var validationResult = await _defaultValidator.ValidateAsync(context);

        // 默认校验通过且用户已认证时，执行自定义权限检查
        if (!validationResult.IsError && context.Subject.Identity.IsAuthenticated)
        {
            var userId = context.Subject.FindFirstValue(JwtClaimTypes.Subject);
            // 从授权请求的scope中解析用户请求的所有API资源
            var requestedApiResources = validationResult.ValidatedResources.ResourceNames
                .Where(name => name.StartsWith("api_")); // 可根据自己的API资源命名规则调整前缀

            // 查询当前用户被允许访问的API资源列表
            var allowedApiResources = await _permissionStore.GetAllowedApiResourcesForUserAsync(userId);

            // 检查是否存在无权限的请求资源
            var unauthorizedResources = requestedApiResources.Except(allowedApiResources).ToList();
            if (unauthorizedResources.Any())
            {
                // 返回错误，阻止令牌颁发
                validationResult = new AuthorizationRequestValidationResult(
                    error: "access_denied",
                    errorDescription: $"你无权访问以下资源：{string.Join(", ", unauthorizedResources)}"
                );
            }
        }

        return validationResult;
    }
}

3. 注册自定义验证器：在Startup.cs的ConfigureServices中替换默认验证器：

services.AddTransient<IAuthorizationRequestValidator, CustomApiAuthorizationValidator>();

隐式流适配说明： #

Angular SPA发起隐式流授权请求时，会通过scope参数指定要访问的API资源（比如scope=openid profile api_orders api_products），这个验证器会自动解析这些scope对应的API资源，再和用户的权限列表对比，完全适配你的场景。

方案二：利用ProfileService注入权限声明（适合需携带权限信息的场景） #

如果你不仅想拦截无权限请求，还希望令牌中携带用户可访问的API资源列表，方便API端做二次校验，可以用这个方案：

1. 实现IProfileService接口：在用户获取令牌时，将用户可访问的API资源作为声明注入到令牌中。
2. API端校验：在每个API的授权逻辑里，检查令牌中的资源声明是否包含当前API的名称。

不过这个方案的核心校验在API端，不符合你要的“一级校验”需求，所以更推荐方案一。

额外注意点： #

• 确保IdentityServer4中配置的API资源Name和权限表中的名称完全一致。
• 可以搭建后台管理界面，方便运维人员维护用户与API资源的权限关系。
• 隐式流下，用户跳转登录后触发授权请求，校验逻辑会在用户授权（或自动授权）前执行，无权限时会直接返回错误提示。

内容的提问来源于stack exchange，提问作者gsharp