标签： oauth-2.0 openiddict
我正在使用 OpenIddict 2 来保护我的 API 端点，目前用户在其身份验证令牌中接收他们在应用程序中拥有的角色。
有时，用户的角色会发生变化，但用户的令牌仍将保留其旧角色。当新角色分配给用户时（通过管理控制台），用户的令牌仍将在分配的范围内拥有旧角色。当他们提交刷新令牌时，他们也无法“扩大范围”（即接收一组比之前“更多”的范围）。
因此，我希望用户将他们的令牌提交给 API 服务器作为识别他们的方式，然后在服务器上执行角色检查，而不是查询他们的令牌以查看他们拥有的角色。我该怎么做？