IdentityServer3 - トークンに十分なユーザー名とパスワードがある場合

Question

ASP.NET Web API v2用にIdentityServer3を使用して認証/承認を実装しようとしています。クライアントはシンプルなHTMLとjQueryアプリケーションです。クライアントはAJAXを使用してバックエンドAPIにAPI呼び出しを行います。

私はclient secretの必要性について混乱し続けます。 IdentityServer3がJWTトークンを戻すにはユーザー名とパスワードの組み合わせで十分ではありませんか？

Answer 1

フローによって異なります。暗黙のフロー（あなたのシナリオでは正しいと思う）は、クライアントの秘密を必要としません。

トークンエンドポイントと通信するときはいつでも、クライアントシークレットが必要です。