Web APIエンドポイントごとに異なるフロー

Question

Web APIエンドポイントを設定して、IdentityServerからの異なる許可タイプを使用するにはどうすればよいですか？

今私はスタートアップのために持っているのです。

app.UseIdentityServerBearerTokenAuthentication(new IdentityServerBearerTokenAuthenticationOptions() 
{ 
    Authority = "http://localhost:5000", 
    RequiredScopes = new[] { "public", "read", "write" } 
}); 

コントローラー：クライアントのフローエンドポイントならば、それは意味がありませんので、

// Assuming to access this endpoint you need to have client id/secret (client credential flow) 
public IEnumerable<string> Get() 
{ 
    return new string[] { "value1", "value2" }; 
} 

// Assuming to access this endpoint you need to have username/password (password flow) 
[ResourceAuthorization("read")] 
public string Get(int id) 
{ 
    return "value"; 
} 

もちろん一方のエンドポイントは、唯一の許可タイプを持つことができますパスワードの流れも許可されます。

これは悪い構造ですか？

パブリックAPI（認証情報フロー）、パスワードフローエンドポイント、および内部エンドポイント（企業のインフラストラクチャに公開しない）を別のプロジェクトに分けるだけでよいですか？

異なるエンドポイントのスコープを指定する方法を教えてください。 （例えば、1つのエンドポイントは公開が必要であり、1つは読まなければならない）

Answer 1

これは非常に悪いことです。あなたは認証フローの問題をあなたのAPIと結びつけています。クライアントごとに異なるスコープを定義し、それらのスコープを使用して、どのクライアントがどのリソースを使用できるかを制限します。範囲に基づいてクレームベースの承認を行うことができます。 thisを確認してください。