IdentityServer4 和使用 API 更新密码

Question

我有一个 API 项目和一个单独的项目 运行 IdentityServer4。第三方应用程序登录到 IdentityServer4 并接收访问令牌。使用令牌第 3 方应用程序调用 API 项目。现在第 3 方应用程序希望 API 资源 (api/users/change_password) 能够通过提供用户名、当前密码和新密码来更改用户密码。如何从 API 项目中获取 update/change 用户的密码？

Answer 1

我会说需求有问题。要获取访问令牌，您将用户重定向到 IDP UI。但是要更改密码，您不想这样做。为什么？通过 API 设置密码不安全。这意味着3rd party application可以根据自己的意愿更改用户密码。风险很大。