登录后如何以用户身份程序化获取Access Token？

哥们，你现在用的客户端凭证模式（client credentials）本来就是无用户上下文的——它是给服务端之间调用用的，所以要拿到带用户身份的Access Token，肯定得换授权流程。咱们一步步来拆解你的问题：

acr_values的作用是指定认证上下文要求，比如强制用户用MFA登录、指定用哪个身份提供商（比如Azure AD），它不是用来把用户身份塞进令牌里的。你要的是带用户主体的令牌，得用带用户参与的授权类型。

1. 资源所有者密码凭证模式（ROPC）：适合信任的内部应用 #

如果你的应用是内部系统，完全信任客户端（比如自己公司的后台工具），可以直接用用户名密码换令牌。这种方式最直接，不需要用户交互，适合程序化场景。

代码示例（基于你的现有代码修改）： #

var client = new TokenClient("http://localhost:34240/connect/token", "client", "secret", AuthenticationStyle.PostValues);
// 注意：你需要先在IdentityServer里配置客户端允许ResourceOwnerPassword授权类型，且用户存在于用户存储中
var token = client.RequestResourceOwnerPasswordAsync(
    username: "user123", 
    password: "user_password", 
    scope: "api").GetAwaiter().GetResult();

⚠️ 警告：这种模式会把用户名密码暴露给客户端，不符合OAuth 2.0的最佳实践，只适合高度信任的场景，别给外部应用用。

2. 授权码模式（Authorization Code Flow）：安全合规的标准方案 #

如果是面向外部用户的应用，或者你想遵循最佳安全实践，就得用授权码模式。这个流程需要用户先登录（通过浏览器）拿到授权码，再用授权码换令牌。

程序化获取授权码的步骤： #

1. 构造授权请求URL，引导用户打开这个URL登录：

http://localhost:34240/connect/authorize?
client_id=client
&redirect_uri=http://localhost:your_app_callback_url
&response_type=code
&scope=api
&state=random_string_prevents_csrf

2. 捕获回调中的授权码：用户登录成功后，IdentityServer会跳转到你指定的redirect_uri，并在URL参数里带上code和state。
3. 用授权码换令牌：

var client = new TokenClient("http://localhost:34240/connect/token", "client", "secret", AuthenticationStyle.PostValues);
var token = client.RequestAuthorizationCodeAsync(
    code: "从回调中拿到的code",
    redirectUri: "http://localhost:your_app_callback_url",
    scope: "api").GetAwaiter().GetResult();

注意事项： #

• 客户端必须配置允许authorization_code授权类型，且redirect_uri要和配置的完全一致。
• 如果是桌面/移动应用，建议用PKCE增强版的授权码模式，避免授权码被拦截，IdentityServer的TokenClient也支持PKCE。

如果你的后台服务需要临时模拟某个用户身份调用API，还可以考虑身份模拟（Impersonation）。这需要在IdentityServer里配置客户端的模拟权限，然后用客户端凭证拿到的令牌，加上模拟用户的参数去换用户令牌。不过这个场景比较特殊，一般只用于内部运维工具。

• 别折腾acr_values，它不是干这个的。
• 内部工具用ROPC快速实现，外部应用用授权码模式保证安全。
• 检查IdentityServer的客户端配置：确保你用的授权类型已经启用，用户也存在于IdentityServer的用户存储中。

内容的提问来源于stack exchange，提问作者dstr