問題タブ [role-based-access-control]

私のconfigure（HttpSecurity）には次のものがあります：

そして、この特定のエンドポイントでは:

私は上に置きます：

しかし、ポストマンを使用してロール「ROLE_ADMIN」（権限のないユーザー）を持つ管理者ユーザーでテストすると、403 はなく、リクエストは正常に渡されました。

情報： AuthoritiesConstants.USER = "ROLE_USER"; AuthoritiesConstants.BANK = "ROLE_BANK"; AuthoritiesConstants.ADMIN = "ROLE_ADMIN";

Identity Server 4 を使い始めたばかりです。

Client Credentials 付与タイプを使用して API を保護しようとしています。

IS4 内に API をセットアップしています。

次のクライアント設定もあります。

API 内に保護したいコントローラーがあります。

次に、次のようにトークン リクエストを作成するとします。

これにより、API を呼び出してリソースにアクセスできるようになります。完全！

しかし、コントローラーを役割で保護したい、例えば

だから私の2つの質問は次のとおりです。

1: クライアント資格情報を使用してロールベースの承認を設定するにはどうすればよいですか?

2: クライアント資格情報はユーザーにリンクされていないため、記録の変更の監査証跡を保持するにはどうすればよいですか (たとえば、サプライヤー X が userId 5 によって更新されたなど)。

ありがとう

ado.net を使用して Web API を実装し、ホスティングにアップロードしましたが、それらの Web API はセキュリティで保護されておらず、ログインせずに誰でもアクセスできます。ロールベースの認証でそれらをセキュリティで保護するにはどうすればよいですか? ログインユーザーのみがアクセスできるようにしたい。