如何在Identity Server 4配置的Web API中判断客户端使用的授权类型？

当然可以！在你的Web API里，有几种可靠的方式能判断当前请求使用的授权类型，帮你针对性地自定义授权逻辑，下面是具体实现思路：

1. 通过ClaimsPrincipal的声明直接判断 #

不同授权类型生成的Access Token包含的声明有明显差异，这是最直接的判断依据：

• 客户端凭证模式（Client Credentials）：这种模式下的Token主体就是客户端本身，所以sub（主体ID）声明的值会和client_id声明的值完全一致，而且通常不会包含任何用户相关的声明（比如name、email这类用户属性）。
• 用户相关的授权类型（比如Authorization Code、Password、Implicit）：Token里的sub会是用户的唯一ID，同时会附带用户的自定义声明，且sub和client_id的值肯定不一样。

你可以在API端点里这么写：

var clientId = User.FindFirst("client_id")?.Value;
var subjectId = User.FindFirst("sub")?.Value;
bool isClientCredentials = clientId != null && subjectId == clientId;

2. 解析Access Token的Payload获取精准信息 #

如果需要更细致的Token信息，你可以直接解析Access Token的内容，用System.IdentityModel.Tokens.Jwt库就能轻松做到：

using System.IdentityModel.Tokens.Jwt;

// 从HttpContext里拿到当前请求的Access Token
var accessToken = await HttpContext.GetTokenAsync("access_token");
if (!string.IsNullOrEmpty(accessToken))
{
    var handler = new JwtSecurityTokenHandler();
    var jwtToken = handler.ReadJwtToken(accessToken);
    
    // 检查client_id和sub是否一致，以此判断是否是客户端凭证模式
    bool isClientCredentials = jwtToken.Claims.Any(c => c.Type == "client_id") && 
                               jwtToken.Claims.FirstOrDefault(c => c.Type == "sub")?.Value == 
                               jwtToken.Claims.FirstOrDefault(c => c.Type == "client_id")?.Value;
}

3. 封装成中间件或授权处理程序复用逻辑 #

如果多个端点都需要判断授权类型，最好把逻辑封装起来，避免重复代码。比如写个自定义中间件：

public class AuthorizationTypeMiddleware
{
    private readonly RequestDelegate _next;

    public AuthorizationTypeMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        var clientId = context.User.FindFirst("client_id")?.Value;
        var subjectId = context.User.FindFirst("sub")?.Value;
        // 把判断结果存在HttpContext.Items里，供后续端点使用
        context.Items["IsClientCredentials"] = clientId != null && subjectId == clientId;
        
        await _next(context);
    }
}

// 记得在Startup.cs（或Program.cs）里注册这个中间件
app.UseMiddleware<AuthorizationTypeMiddleware>();

之后在任意端点里就能直接获取结果：

bool isClientCredentials = (bool)HttpContext.Items["IsClientCredentials"];

小提示 #

• 要确保你的Identity Server 4配置里，已经把client_id和sub声明包含在Access Token里——可以在客户端配置的AllowedScopes中添加openid，或者自定义包含这些声明的Scope。
• 有些客户端可能同时支持多种授权类型，所以判断一定要基于当前请求的Token内容，而不是客户端的静态配置哦。

内容的提问来源于stack exchange，提问作者Hugo Quintela Ribeiro