访问令牌和用户ID

Question

我目前正在尝试使用ADFS 2016认证angular 7应用程序(使用angular-oauth2-oidc)。到目前为止，它工作得很好。当我访问应用程序时，我被重定向到ADFS登录页面，在那里输入我的凭据并获得令牌。

现在，当应用程序调用web API时，它在请求头中发送访问令牌。ADFS返回的访问令牌如下所示:

{
  "aud": "microsoft:identityserver:xxx",
  "iss": "http://xxx/adfs/services/trust",
  "iat": 1554561406,
  "nbf": 1554561406,
  "exp": 1554565006,
  "apptype": "Public",
  "appid": "xxx",
  "authmethod": "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport",
  "auth_time": "2019-04-06T12:21:39.222Z",
  "ver": "1.0",
  "scp": "profile openid"
}

问题是web API必须知道进行调用的用户的ID（因为在应用程序级别定义了一些权限）。我在这里看到，我可以向访问令牌添加声明，我做到了。然而，当我在互联网上阅读文章时，我读到访问令牌显然不应该用于标识用户，所以我不知道添加web API用于标识用户的声明是否正确。

然而，我在这里读到

访问令牌拥有的唯一用户信息是位于子声明中的用户ID。

但默认情况下，ADFS 不提供“子”令牌。如果我自己添加包含用户电子邮件地址的“sub”声明是否正确，或者我必须以不同的方式继续？

Answer 1

是的，访问令牌不应该用于标识用户。但是，如果您可以在访问令牌中获取用户标识符，这就是您需要了解的关于用户的所有信息，那么这可能是最简单的方法。但它是特定于您的身份验证服务器的实现。

标准的方法是请求< code>profile作用域(您这样做了)并从< code>userinfoendpoint获取信息(参见OpenID Connect RFC)。如果使用这种方式，您可能希望缓存响应，这样就不需要对每个客户端请求都进行这个HTTP调用。

如果您的后端API仅由Angular应用程序使用，并且不应该由第三方调用，那么您也可以考虑将后端用作OAuth2客户端，该客户端接收授权代码并将其交换为ID令牌。然后，它可以在一个会话中保存用户的身份(从ID令牌中读取),并发出一个标识该会话的cookie。所以前端不需要对每个请求都发送一个令牌。这将使后端有状态，但它可能更容易实现。