Identity Server4自省端点仅支持ApiResource凭证的疑问（MVC/WebForms场景）

一、为什么自省端点默认只允许ApiResource凭证访问？ #

IdentityServer的自省端点（Introspection Endpoint）设计初衷是给受保护的API资源提供验证引用令牌有效性的能力。引用令牌本身不包含用户/权限信息，API需要通过自省端点去IdentityServer查询令牌的状态、权限等细节。

从安全角度来说，只有API资源本身才需要做这个验证——毕竟API是最终处理请求的环节，它需要确认请求携带的令牌是合法有效的。而客户端凭证（Client Credentials）的用途是让客户端获取自己的访问令牌，用来访问它被授权的API，并不是用来验证其他令牌的，所以默认情况下IdentityServer会拒绝客户端凭证访问自省端点，这是一种权限边界的划分，避免客户端越权操作。

二、如何实现系统管理员的令牌撤销能力？ #

如果你需要让管理员能够撤销令牌，不用纠结于自省端点，IdentityServer本身提供了令牌撤销端点（Token Revocation Endpoint），更适合这个场景。下面是具体的实现步骤：

1. 创建专门的管理员客户端 #

在IdentityServer的配置中，添加一个具备撤销权限的管理客户端，给它分配revoke_token的范围（或者自定义权限）：

new Client
{
    ClientId = "admin_client",
    ClientSecrets = { new Secret("admin_secret".Sha256()) },
    AllowedGrantTypes = GrantTypes.ClientCredentials,
    AllowedScopes = { "revoke_token" } // 赋予撤销令牌的权限
}

2. 配置IdentityServer启用撤销端点 #

确保你的IdentityServer配置中启用了撤销端点（默认是启用的，但可以确认一下）：

services.AddIdentityServer()
    .AddInMemoryClients(clients)
    .AddInMemoryApiResources(apiResources)
    .AddInMemoryIdentityResources(identityResources)
    .AddDeveloperSigningCredential();
// 撤销端点默认已包含在端点配置中，无需额外开启

3. 管理员客户端调用撤销端点 #

在你的MVC/WebForms应用中，使用管理员客户端的凭证获取访问令牌，然后调用撤销端点来作废目标令牌：

// 第一步：获取管理员客户端的访问令牌
var tokenClient = new TokenClient(discoveryDocument.TokenEndpoint, "admin_client", "admin_secret");
var tokenResponse = await tokenClient.RequestClientCredentialsAsync("revoke_token");

// 第二步：调用撤销端点
var revokeClient = new HttpClient();
revokeClient.SetBearerToken(tokenResponse.AccessToken);

var revokeRequest = new FormUrlEncodedContent(new Dictionary<string, string>
{
    { "token", "要撤销的引用令牌内容" },
    { "token_type_hint", "access_token" } // 可选，指定令牌类型，加速查询
});

var revokeResponse = await revokeClient.PostAsync(discoveryDocument.RevocationEndpoint, revokeRequest);
revokeResponse.EnsureSuccessStatusCode();

4. （可选）让管理员客户端访问自省端点 #

如果你的管理员还需要验证令牌状态（比如撤销前先确认令牌是否存在），可以修改IdentityServer的配置，允许指定客户端访问自省端点。你可以通过自定义自省端点的验证逻辑来实现：

services.AddIdentityServer()
    .AddInMemoryClients(clients)
    // ...其他配置
    .AddIntrospectionValidator<CustomIntrospectionValidator>();

// 自定义验证器
public class CustomIntrospectionValidator : IIntrospectionRequestValidator
{
    public Task ValidateAsync(IntrospectionRequestValidationContext context)
    {
        // 允许admin_client通过客户端凭证访问自省端点
        if (context.Client.ClientId == "admin_client")
        {
            context.IsValid = true;
        }
        // 保留原有的ApiResource凭证验证逻辑
        else
        {
            // 这里可以复用默认的验证逻辑，或者自己实现
            var defaultValidator = new DefaultIntrospectionRequestValidator();
            return defaultValidator.ValidateAsync(context);
        }
        return Task.CompletedTask;
    }
}

总结 #

简单来说，自省端点默认的权限限制是为了安全边界，而令牌撤销应该用专门的撤销端点来实现。通过创建具备对应权限的管理员客户端，就能轻松实现你的需求啦。

内容的提问来源于stack exchange，提问作者BobG