identityserver3 - 在 Web API 身份验证（身份服务器）之后添加特定于应用程序的声明

Question

我在我的 Web 应用程序 OnValidateIdentity 中将应用程序特定声明添加到身份服务器的访问令牌声明。我正在为每个 API 调用查询数据库的登录用户获取应用程序特定声明。我是否应该将应用程序特定的声明注入 Identity Server 的令牌中（以减少数据库调用）？

Answer 1

身份服务器令牌应该只包含关于用户的声明。在收到令牌时查询应用程序特定的声明应该是可以的。如果这是一个问题，您可以引入一个缓存层来减少数据库调用。

但是，如果您有真正正当的理由，则可以打破这些规则并在身份服务器上添加特定于应用程序的声明。（例如：多个应用程序共享的设置）。