参照トークン

アクセストークンには、自己完結型または参照型の2つの味があります。

JWTトークンは、自己完結型のアクセストークンであり、クレームと有効期限を持つ保護されたデータ構造です。APIがキーマテリアルについて学習すると、発行者と通信することなく自己完結型のトークンを検証できます。これにより、JWTは取り消しが難しくなります。有効期限が切れるまで有効です。

参照トークンを使用する場合、IdentityServerはトークンの内容をデータストアに格納し、このトークンの一意の識別子のみをクライアントに発行します。この参照を受け取ったAPIはIdentityServerへのバックチャネル通信を開き、トークンを検証する必要があります。

次の設定を使用して、クライアントのトークンタイプを切り替えることができます。

client.AccessTokenType = AccessTokenType.Reference;

IdentityServerはOAuth 2.0のイントロスペクション仕様の実装を提供しています。これにより、APIはトークンを間接参照できます。あなたは私たちの専用使用することができますいずれかのイントロスペクションミドルウェアを または使用アイデンティティサーバー認証ミドルウェアの両方JWTsと参照トークンを検証することができます。

イントロスペクションエンドポイントは、認証が必要です。イントロスペクションエンドポイントのクライアントはAPIなので、次のようにシークレットを設定しますApiResource。

var api = new ApiResource("api1")
{
    ApiSecrets = { new Secret("secret".Sha256()) }
}

IdentityServer認証ミドルウェアをAPI用に設定する方法の詳細については、こちらを参照してください。