在.NET 9中使用Pushed Authorization Requests：为何及如何使用
💡
原文英文，约1800词，阅读约需7分钟。
📝
内容提要
.NET 9.0在ASP.NET Core中引入了Pushed Authorization Requests（PAR）支持，增强了OpenID Connect和OAuth 2.0的安全性，特别适用于金融和医疗等敏感领域。PAR通过直接将授权请求发送至授权服务器，降低了请求被篡改或泄露的风险。使用PAR无需额外代码，.NET 9默认支持，开发者可根据需求配置PAR行为。
🎯
关键要点
- .NET 9.0在ASP.NET Core中引入了Pushed Authorization Requests（PAR）支持，增强了OpenID Connect和OAuth 2.0的安全性。
- PAR特别适用于金融、医疗等敏感领域，降低了授权请求被篡改或泄露的风险。
- 使用PAR无需额外代码，.NET 9默认支持，开发者可根据需求配置PAR行为。
- 基本的OpenID Connect流程涉及用户、Web应用、授权服务器和API服务器。
- OIDC流程中存在潜在的安全和隐私问题，如请求被篡改、来源不明和机密性缺失。
- PAR通过将授权请求直接发送至授权服务器，避免了敏感信息的暴露和修改。
- 在.NET 9中，PAR支持默认启用，开发者无需修改代码即可享受更高的安全性。
- 开发者可以通过配置选项控制PAR行为，如禁用PAR或强制使用PAR。
- 可以处理onPushAuthorization事件来自定义发送至授权服务器的授权请求。
- 理解PAR的工作原理有助于调试和解决认证问题。
➡️
