这可以通过创建两个不同的客户端来实现。在这两种情况下，客户端都将根据其流程管理身份验证，然后获取用于调用API的访问令牌。API所有者还应设计客户端请求的作用域。
API的第一项工作应该是在每个请求上验证JWT访问令牌。您可以使用Microsoft中间件来完成此任务：

private void ConfigureOAuth(IServiceCollection services)
{
    services
        .AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.Authority = this.configuration.MetadataEndpoint;
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidIssuer = "myissuer",
                ValidAudience = "myaudience"
            };
        });
}

你的API控制器会收到一个ClaimsPrincipal，你可以使用authorization policies来实现授权，以检查你是否有正确的作用域和当前操作的声明：

[HttpGet("{id}/transactions")]
[Authorize(Policy = "mypolicy")]
public async Task<Transactions> GetTransactionsAsync(string id)
{
    // Implementation goes here
}