如何从 API 级别安全地管理角色和用户

Question

我有一个 Angular 应用程序的 API，我们正在使用 Identity Server 4 来编写令牌。 IDS4 在一个单独的项目中，我们在该项目中创建了一些 MVC 视图，以便新用户注册我们创建的位置，然后在控制器中使用 UserManager。计划是我们最终将为不同的项目提供几个单独的 API，但只有 1 个身份服务器来管理它们。

我们遇到的问题是我们需要能够从 API 项目创建用户并修改他们的角色。由于 API 无法访问身份表的 IDS4 数据库，因此处理此问题的最佳方法是什么？我是否将端点添加到 IDS4 项目以授予对 UserManager 的访问权限？这似乎有点冒险，如果我这样做，我该如何保证安全，以便只有合法的 API 项目可以使用它并且它不会打开安全漏洞？

Answer 1

简短的回答是 - 你可以做到。

您要用于创建用户的 API 应该是已注册的 IDS 客户端，它将基于 client credentials flow（clientId 和 clientSecret）进行身份验证。

那么，我猜你有一个可以访问数据库的 API。然后，新的客户端 API 将调用有权访问数据库的 API。具有访问权限的人将受到 IDS 授权的保护。

当然，您可以在此处为特定操作添加更多安全性，并使用某些自定义属性或授权策略仅允许新 API（而不是所有通过 IDS 授权的调用）使用它们。