基于Identity Server 4的客户端生成ASP.NET Core Identity验证令牌方案咨询

嘿，你的需求我太懂了——既要在客户端创建用户、用上ASP.NET Core Identity的令牌生成能力，又不想在客户端塞一堆Identity的服务和依赖，确实得找个轻量化的方案。

先直接给结论：你想到的第一种思路（在Identity Server里加自定义API端点）就是最简便、最符合架构设计的方案，反而第二种共享TokenProviders的思路会带来更多维护麻烦，我来给你拆解下原因和具体实现步骤：

为什么自定义API端点是最优解？ #

Identity Server本身就应该承担用户生命周期管理的核心职责（创建、验证、重置密码这些），把这些逻辑集中在身份提供者这边，客户端只需要通过API调用，完全不用关心Identity内部的UserManager、存储实现这些细节——完美符合你“避免在客户端注册大量Identity服务”的需求。

具体实现步骤 #

1. 在Identity Server项目中添加用户管理API控制器 #

注入UserManager<TUser>，实现创建用户和生成验证令牌的接口：

using Microsoft.AspNetCore.Identity;
using Microsoft.AspNetCore.Mvc;

[ApiController]
[Route("api/user-management")]
// 用Identity Server的JWT保护这个API，只允许授权客户端调用
[Authorize(Policy = "ClientCredentials")]
public class UserManagementController : ControllerBase
{
    private readonly UserManager<ApplicationUser> _userManager;

    public UserManagementController(UserManager<ApplicationUser> userManager)
    {
        _userManager = userManager;
    }

    // 创建用户并生成邮箱验证令牌
    [HttpPost("create")]
    public async Task<IActionResult> CreateUser([FromBody] CreateUserDto request)
    {
        var user = new ApplicationUser 
        { 
            UserName = request.Email, 
            Email = request.Email,
            EmailConfirmed = false
        };

        var createResult = await _userManager.CreateAsync(user, request.Password);
        if (!createResult.Succeeded)
        {
            return BadRequest(createResult.Errors.Select(e => e.Description));
        }

        // 用Identity原生方法生成邮箱验证令牌
        var verificationToken = await _userManager.GenerateEmailConfirmationTokenAsync(user);

        // 可选：直接在Identity Server这边发送验证邮件（推荐，客户端不用管邮件服务）
        // await _emailSender.SendEmailAsync(request.Email, "验证你的邮箱", 
        //     $"点击链接验证：https://your-client-url/confirm-email?userId={user.Id}&token={Uri.EscapeDataString(verificationToken)}");

        // 或者把令牌返回给客户端，由客户端处理后续流程
        return Ok(new 
        { 
            UserId = user.Id, 
            Email = user.Email,
            EmailVerificationToken = verificationToken
        });
    }

    // 可选：添加邮箱确认的接口，供客户端调用
    [HttpPost("confirm-email")]
    public async Task<IActionResult> ConfirmEmail([FromBody] ConfirmEmailDto request)
    {
        var user = await _userManager.FindByIdAsync(request.UserId);
        if (user == null)
        {
            return NotFound("用户不存在");
        }

        var confirmResult = await _userManager.ConfirmEmailAsync(user, request.Token);
        return confirmResult.Succeeded ? Ok("邮箱验证成功") : BadRequest("验证令牌无效");
    }
}

// 对应的DTO类
public class CreateUserDto
{
    public string Email { get; set; }
    public string Password { get; set; }
}

public class ConfirmEmailDto
{
    public string UserId { get; set; }
    public string Token { get; set; }
}

2. 配置API权限，确保客户端能合法调用 #

• 在Identity Server的配置中，添加一个新的API资源和Scope：

public static IEnumerable<ApiResource> GetApiResources()
{
    return new List<ApiResource>
    {
        new ApiResource("user-management-api", "User Management API")
        {
            Scopes = { "user-management-api" }
        }
    };
}

public static IEnumerable<ApiScope> GetApiScopes()
{
    return new List<ApiScope>
    {
        new ApiScope("user-management-api", "允许管理用户账户")
    };
}

• 给需要调用这个API的客户端分配user-management-api的Scope：

public static IEnumerable<Client> GetClients()
{
    return new List<Client>
    {
        new Client
        {
            ClientId = "your-client-app",
            // 其他客户端配置...
            AllowedScopes = { "openid", "profile", "user-management-api" },
            AllowedGrantTypes = GrantTypes.ClientCredentials // 或者根据你的客户端类型选合适的授权类型
        }
    };
}

3. 客户端调用API #

客户端只需要通过Identity Server获取user-management-api的Access Token，然后调用对应的接口即可，完全不需要引用ASP.NET Core Identity的包，也不用注册任何Identity服务：

// 客户端获取Access Token的示例（用IdentityModel库）
var client = new HttpClient();
var discoveryDocument = await client.GetDiscoveryDocumentAsync("https://your-identity-server-url");
if (discoveryDocument.IsError)
{
    // 处理错误
}

var tokenResponse = await client.RequestClientCredentialsTokenAsync(new ClientCredentialsTokenRequest
{
    Address = discoveryDocument.TokenEndpoint,
    ClientId = "your-client-app",
    ClientSecret = "your-client-secret",
    Scope = "user-management-api"
});

// 调用创建用户接口
var apiClient = new HttpClient();
apiClient.SetBearerToken(tokenResponse.AccessToken);
var createUserRequest = new { Email = "user@example.com", Password = "P@ssw0rd!" };
var response = await apiClient.PostAsJsonAsync("https://your-identity-server-url/api/user-management/create", createUserRequest);

为什么不推荐共享TokenProviders？ #

共享TokenProviders听起来好像能复用逻辑，但实际会带来很多问题：

• 你需要在客户端和Identity Server之间共享ApplicationUser类、TokenProvider的实现，还要确保两者的Identity版本一致，一旦Identity Server升级，客户端也必须跟着升级；
• 客户端还是得引用ASP.NET Core Identity的相关包，本质上还是引入了不必要的依赖；
• Token生成依赖UserManager的上下文，客户端没有Identity的存储上下文，即使共享TokenProvider，也没办法正确生成令牌（因为TokenProvider需要访问用户的安全戳等信息）。

所以综合来看，自定义API端点是最省心、最符合架构设计的方案。

内容的提问来源于stack exchange，提问作者jdcorr