c# - 使用 IdentityServer4 保护我的网站和 API

Question

我建立了一个网站，负责呈现从我构建的 API 获取的信息；两者都在 .NET Core 2.1 中。

我希望 API 使用 Bearer 令牌处理身份验证，以确保用户具有正确的权限来进行他们正在使用的调用。我还想保护我的服务器-服务器通信，以便我的网站可以对 API 进行经过身份验证的调用，而无需对用户本身进行身份验证。

我一直在关注 IdentityServer4 的教程，我觉得我应该用它来实现我想要的工作流程。

然而，教程都强制用户重定向到 IdentityServer 应用程序来登录。这感觉不是无缝的；我不希望我的用户被重定向到另一个域进行身份验证；他们不应该离开我的网站。

是否可以将用户名和密码发送到我的 API 并让 API 通过 IdentityServer 进行身份验证，而用户不会看到幕后发生的事情？

标签： c#asp.net-coreidentityserver4