【发布时间】：2016-09-22 01:02:38
【问题描述】：
我们正在使用参考令牌，并且需要针对每个请求提供声明和其他信息。例如，我需要能够使用 Authorize 或 ResourceAuthorize 来确保用户具有保护对某些控制器的访问权限的角色。我怎样才能真正做到让索赔可用？
【问题讨论】：
标签： identityserver3 thinktecture-ident-server
【发布时间】：2016-09-22 01:02:38
【问题描述】：
如果您使用的是 IdentityServer3.AccessTokenValidation 中间件，那么引用令牌将自动取消对 IdentityServer 的引用，并且声明将在您的 Web API 控制器代码的用户中可用（或从 AuthenticationManager 中的用户OwinContext）。
声明将是在创建引用令牌时生成的用户声明，并且不会在您每次取消引用令牌时从用户服务中更新。
【讨论】：
-
这是否对每个请求自动发生，以便始终使用 IDS 服务器上最新的声明，或者您是否需要做任何额外的事情来确保最新的声明对每个请求？
-
取消引用会自动发生，但声明是客户端发出初始请求时的值。当前未实现每次使用令牌时更新声明。
-
那么如何更新每个请求的声明？
-
我目前实现的系统与此类似，每次刷新页面或用户转到该应用程序的不同页面时，它都会到达该端点。你觉得这个实现有问题吗？
-
性能以外的？就像我说的，如果价值变化如此频繁，而你需要最新的，那么你就必须做你该做的。