IdentityServer4是否允许通过隐式流访问API资源？

首先明确说：IdentityServer4完全支持用隐式流访问API资源，只是这个流因为会直接在浏览器中暴露Access Token，安全性不如授权码流（带PKCE），所以现在的最佳实践更推荐后者，但它本身是允许的。

看你贴的客户端配置代码，问题其实出在这里：

new Client { 
    ClientId = "implicit", 
    ClientName = "Implicit Client", 
    AllowAccessTokensViaBrowser = true, 
    RedirectUris = { "https://notused" }, 
    PostLogoutRedirectUris = { "https://notused" }, 
    FrontChannelLogoutUri = "http://localhost:5000/signout-idsrv", // for testing identityserver on localhost 
    AccessTokenLifetime = 10, 
    AllowedGrantTypes = GrantTypes.Implicit, 
    AllowedScopes = { "openid", "profi..." }
}

你的AllowedScopes只包含了openid和一个截断的profi...（应该是profile？），没有添加你要访问的API资源对应的scope！这才是导致你可能无法访问API的核心原因，而不是隐式流本身不被支持。

解决步骤很简单：

• 先确认你在IdentityServer的配置里已经定义了目标API资源（比如一个名为api1的API）
• 把这个API的scope添加到客户端的AllowedScopes中，修改后类似这样：

AllowedScopes = { "openid", "profile", "api1" }

另外提两个小细节：

• 隐式流的Access Token会直接返回给浏览器，所以生产环境一定要确保你的客户端和API都使用HTTPS，减少令牌泄露的风险
• 你设置的AccessTokenLifetime = 10（10秒）适合测试场景，但生产环境要根据业务需求调整合理的有效期

内容的提问来源于stack exchange，提问作者Epistemologist