IdentityServer4客户端范围和基于用户声明的授权

Question

我有一个IdentityServer4用于身份验证/授权，我对如何实现以下内容感到困惑：

如果我让我们说2个客户端，并且他们正在尝试访问2个API（每个客户端可以访问其中一个），但是我有不同权限的用户（user1可以访问第一个API，user2可以访问第二个API， user3可以访问）

当应该有权访问这两个API的user3使用第一个客户端登录时（客户端只请求api1范围），我将如何向他提供一个令他可以访问这两个API（范围）的令牌，所以他不应该再次登录使用第二个客户端时？

我已经阅读了很多关于用户声明和客户端范围的讨论，但我仍然没有明确的答案如何使用它们来验证上述情况。

Answer 1

客户端需要请求两个范围，或者您需要一个可以访问这两个范围的范围。

范围被授予客户端除非客户端请求两个范围，否则您的ID无法知道user3应该有权访问这两个范围。