IdentityServer3：根据用户声明拒绝访问给定范围

Question

我有一个包含 2 个区域的 WebAPI - 用户和管理员。 2 个站点，用户和管理员，使用它，他们有自己的客户端 ID。

    public static readonly Scope AdminScope = new Scope
    {
        Name = "adm_api",
        Type = ScopeType.Resource,
        Claims = new List<ScopeClaim>
        {
            new ScopeClaim(Constants.ClaimTypes.Role),
            new ScopeClaim(VitClaimTypes.IsAdmin)
        },
    };

    public static readonly Scope UserScope = new Scope
    {
        Name = "user_api",
        Type = ScopeType.Resource,
        Claims = new List<ScopeClaim>
        {
            new ScopeClaim(Constants.ClaimTypes.Role),
            new ScopeClaim(Constants.ClaimTypes.Name),
        }
    };

客户：

        new Client
        {
            ClientName = "User area client",
            ClientId = "user_client",
            Enabled = true,

            AllowedScopes = new List<string>
            {
                "user_api", "offline_access"
            }
        },

        new Client
        {
            ClientName = "Admin area client",
            ClientId = "adm_client",
            Enabled = true,

            AllowedScopes = new List<string>
            {
                "user_api", "adm_api"
            }
        },

现在我想拒绝请求“adm_api”范围但没有 IsAdmin 声明的用户登录。我怎么做？我知道我可以向 API 添加自定义 Authorize 属性，我会这样做。但与等待第一次 API 访问相比，在登录时立即拒绝访问会更加用户友好。

Answer 1

我认为在请求 api 资源之前检查已发布的声明并通知用户访问权限不足是您的管理员应用程序的责任。身份服务拒绝登录是不正确的，毕竟身份验证没有错。这听起来更像是授权。