Complex Ansprüche in JWT

Question

Die JWT RFC kein Problem mit komplexen Arrays zu haben scheinen, wie zum Beispiel:

{ 
    "email": "test@test.com", 
    "businesses": [ 
     { 
      "businessId": "1", 
      "businessName": "One", 
      "roles": [ 
        "admin", 
        "accountant" 
      ] 
     }, 
     { 
      "businessId": "2", 
      "businessName": "Two", 
      "roles": [ 
        "support" 
      ] 
     } 
    ] 
} 

und dies scheint ein wünschenswertes Szenario für unsere Bedürfnisse, da im Rahmen des Tokens wir möchten eine Liste von Unternehmen haben, auf die ein Benutzer Zugriff hat und welche Rollen er für jedes Geschäft hat (es ist Teil seiner Identität). Die Autorisierungsrichtlinien in der API sollten diese Gruppen später verstehen und die erforderliche Berechtigungslogik anwenden.

Ich habe gesehen, dass mit IdentityServer4 die Ansprüche an die IEnumerable<Claim> IssuedClaims Eigenschaft der ProfileDataRequestContext hinzugefügt werden.

Gibt es eine empfohlene Alternative zu dieser komplexen Anspruchsstruktur? Wenn nicht, gibt es eine Möglichkeit, diese Struktur mit IdentityServer4 zu erstellen (vielleicht eine Erweiterung?) Oder wäre die einzige Möglichkeit, den JSON manuell zu serialisieren, da der Claim scheinbar nur eine Zeichenkette akzeptiert?

PS: Ich habe this question und this other wo einer der Autoren von Identity Server spricht über etwas ähnliches ist ein Antipattern gesehen. Nicht sicher, ob das Antipattern in den Patentansprüchen eine Struktur mit komplexen Ansprüchen oder Details zur Autorisierung darstellen soll.

Jeder Rat hierüber wäre großartig!

UPDATE:

Nach einem paar Gedanken zu geben Ich bin damit einverstanden eine komplexe Hierarchie von Ansprüchen, die nicht wünschenswert ist, und ich, um dieses Problem mit einer schmutzigen Lösung von prefixing Rollen für jeden BusinessID gehen könnte. Etwas wie folgt aus:

{ 
    "email": "test@test.com", 
    "roles": [ 
     "1_admin", 
     "1_accountant", 
     "2_support" 
    ], 
    "businesses": [ 
     "1_One", 
     "2_Two" 
    ] 
} 

, die Art, wie ich eine einfache Struktur zu halten und später, auf dem Client oder API ich die Ansprüche lesen und herausfinden, dass 1 ist die ID für das Geschäft mit dem Namen One und es hat die Rollen admin und account.

Wäre das eine bessere Lösung?

Answer 1

Ansprüche sind über Identitätsinformationen - und nicht komplexe Erlaubnis "Objekte". Sie sind mit einem dedizierten Berechtigungsservice, der Ihre Berechtigungen in jedem gewünschten Format basierend auf der Identität des Benutzers zurückgibt, weit besser dran.

Ich hoffe auch, dass Ihre Berechtigungsdaten nicht geändert werden, während das Token verwendet wird, sonst enden Sie mit veralteten Daten.

Das besagt - Ansprüche sind immer Zeichenketten in. NET - aber Sie können JSON-Objekte in es serialisieren, indem Sie ClaimValueType auf IdentityServerConstants.ClaimValueTypes.Json setzen.