OpenID Connect暗黙のフローリソースサーバ

Question

私はOpenID Connect Implicit Flowを使用して実装を開始しました。ブラウザベースのjavascriptアプリケーションでアクセストークンとIDトークンを取得しました。 ASP.NET Core Web APIを使用すると、特定のクレームを持つユーザーからの有効なアクセストークンを介してのみアクセスできます。

トークンを検証してユーザーとその主張を判断するために使用するミドルウェアは何ですか？要求するリソースへのアクセスを許可または拒否できますか？

私はOpenIdConnectAuthenticationミドルウェアを見ましたが、私が見た唯一の実装例は、私のjsアプリケーションが提供しているベアラトークンではなく、 "Cookies"のSignInSchemeを使用しています。

おかげ

Answer 1

何ミドルウェア私はトークン（複数可）を検証し、私はその後、許可または彼らが要求しているリソースへのアクセスを拒否することができますように、ユーザーと自分の主張を決定するために使用しますか？

承認サーバーがJWTトークンを発行する場合は、ASP.NETチームによって開発されたJWTベアラミドルウェア（https://github.com/aspnet/Security/tree/dev/src/Microsoft.AspNetCore.Authentication.JwtBearer）を使用できます。

app.UseJwtBearerAuthentication(new JwtBearerOptions { 
    Authority = Configuration["jwt:authority"], 
    Audience = Configuration["jwt:audience"] 
}); 

ここでサンプルを見つけることができます：https://github.com/aspnet/Security/tree/dev/samples/JwtBearerSample。