Asp.Net Core MVC中，Implicit模式下如何获取已认证用户的Access Token？

我懂你现在的困扰——用Implicit模式对接IdentityServer4后，试了各种方法都拿不到Access Token去调用API，还因为请求头过大没法切换到Hybrid模式。别慌，问题出在你的OpenIdConnect配置细节上，默认的Implicit模式配置不会自动获取并保存Access Token，咱们一步步调整：

1. 修正OpenIdConnect核心配置 #

你的现有配置只默认请求了id_token，而且没开启令牌保存到Cookie的选项。需要补两个关键设置：

• 设置ResponseType = "id_token token"：告诉IdentityServer你需要同时获取身份令牌（id_token）和访问令牌（access_token）
• 开启SaveTokens = true：让框架把获取到的令牌加密存储到认证Cookie中，这样后续才能通过框架方法读取

修改后的完整配置代码：

services.TryAddSingleton<IHttpContextAccessor, HttpContextAccessor>();
services.AddAuthentication(options =>
{
    options.DefaultScheme = "cookie";
    options.DefaultChallengeScheme = "oidc";
})
.AddCookie("cookie")
.AddOpenIdConnect("oidc", options =>
{
    options.Authority = Configuration["ServiceSettings:IdentityServerEndpoint"];
    options.ClientId = "f91ece52-81cf-4b7b-a296-26356f50841f";
    options.SignInScheme = "cookie";
    
    // 新增的核心配置
    options.ResponseType = "id_token token"; // Implicit模式需明确请求两种令牌
    options.SaveTokens = true; // 允许将令牌保存到认证Cookie
    
    // 必须添加你要访问的API的Scope，比如你的API资源名为"api_demo"
    options.Scope.Add("api_demo");
    // 可选添加基础身份信息Scope
    options.Scope.Add("openid");
    options.Scope.Add("profile");
});

2. 正确获取Access Token #

配置调整后，你之前控制器里的GetTokenAsync方法就能正常拿到值了，简化后的代码如下：

[Authorize]
public async Task<IActionResult> Index(int clientId, string error)
{
    ViewData["Title"] = "Secrets";
    
    if (User.Identity.IsAuthenticated)
    {
        // 现在可以正常获取到Access Token
        var accessToken = await HttpContext.GetTokenAsync("access_token");
        
        // 用令牌调用API示例
        if (!string.IsNullOrEmpty(accessToken))
        {
            var apiClient = _httpClientFactory.CreateClient();
            apiClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
            // 执行API调用逻辑...
        }
    }
    
    return View();
}

关于从Cookie直接提取Token的问题 #

你提到想从请求头的Cookie里解析令牌——强烈不建议这么做。因为认证Cookie是经过加密处理的，里面的令牌数据也做了序列化加密，直接解析不仅繁琐，还会引入安全风险。框架提供的GetTokenAsync已经帮你处理了解密、读取的所有逻辑，这才是规范且安全的方式。

额外验证点 #

• 确认你的IdentityServer4客户端配置中，AllowedGrantTypes设置为GrantTypes.Implicit，且AllowedScopes包含你添加的API Scope
• Implicit模式本身不支持刷新令牌（refresh_token），如果后续需要长期维持API访问权限，可能需要结合业务场景考虑其他方案，但这是该模式的固有局限

内容的提问来源于stack exchange，提问作者Linda Lawton - DaImTo