identityserver4 如何保护 ApiResources？

Question

在 identityserver 4 中，将以下代码放在 apiresource 上

                .AddIdentityServerAuthentication(options =>

                {

                    options.Authority = _platformSettings.IdentityServerUrl;   

                    options.RequireHttpsMetadata = true; 

                    options.ApiName = "myapi";

                });

但它似乎很不受保护。如何阻止某些作恶者创建控制台应用程序并使用相同的代码？在这种情况下，他们只需要知道我的 apiresource 的名称即可myapi。

Answer 1

为什么你认为这是不安全的？您myapi将只接受由 的权威发行和签署的令牌_platformSettings.IdentityServerUrl。这就是您需要考虑的方式。有人可以创建一个控制台应用程序并使用相同的代码这一事实实际上是无关紧要的，因为客户端（您的网络应用程序正在消耗 api 资源，并且客户端将调用您托管的 api 应用程序 url 上的端点，而不是其他人。