如何利用已认证的.NET Core MVC客户端（基于IdentityServer4）通过JS调用Web API？

当然可以复用你现有.NET Core MVC客户端（基于IdentityServer4）的认证信息来调用独立Web API，完全不需要通过OIDC JavaScript客户端重新认证，下面给你一步步拆解可行的方案：

1. 能不能复用已有的认证信息？ #

完全可以。你的MVC客户端已经通过IdentityServer4完成了认证，用户的身份会话和相关凭证（比如Access Token、ID Token）会被存储在客户端的认证Cookie中。只要你的独立Web API是通过IdentityServer4配置的授权服务（即API信任同一个IdentityServer4实例，并且MVC客户端拥有访问该API的权限Scope），就可以直接复用这些凭证来调用API。

2. 是否必须通过OIDC JavaScript客户端重新认证？ #

不需要。重新认证会增加用户的操作负担，而且完全没必要——MVC客户端已经维护了用户的有效认证会话，你只需要从这个会话中提取出调用API所需的Access Token即可。

3. 如何从已认证MVC客户端获取Bearer Token供JS使用？ #

这里有两种常用的可靠方案：

方案一：在MVC控制器中获取Token并传递到视图 #

你可以在受[Authorize]保护的控制器方法中，通过HttpContext直接获取当前用户的Access Token，然后将其传递到视图，再在前端JavaScript中使用这个Token调用API。

示例代码：

[Authorize]
public async Task<IActionResult> Index()
{
    // 获取Access Token
    var accessToken = await HttpContext.GetTokenAsync("access_token");
    
    // 通过ViewBag传递到视图
    ViewBag.AccessToken = accessToken;
    
    return View();
}

在视图的JavaScript中使用（Razor视图示例）：

const accessToken = '@ViewBag.AccessToken';

// 调用Web API时设置Authorization头
fetch('https://your-api-url/api/values', {
    method: 'GET',
    headers: {
        'Authorization': `Bearer ${accessToken}`
    }
})
.then(response => response.json())
.then(data => console.log(data));

方案二：集成Token刷新逻辑（可选） #

如果你的Access Token有效期较短，还可以在MVC客户端中配置Token自动刷新逻辑，确保前端拿到的Token始终有效。你可以使用IdentityServer4官方提供的AddAccessTokenManagement扩展包来简化流程，在控制器中获取刷新后的Token再传递给视图。

关键注意事项 #

• 确保你的MVC客户端在IdentityServer4的配置中，拥有目标Web API的权限Scope（比如api1），否则获取的Access Token会被API拒绝。
• 前端传递Token时一定要使用HTTPS，避免Token被窃听；同时要做好XSS防护，防止Token被恶意脚本窃取。
• Access Token有有效期，你可以在前端检查Token的过期时间，或者在MVC端处理刷新逻辑，确保调用API时Token始终有效。

内容的提问来源于stack exchange，提问作者Anonymous Creator