IdentityServer4 快速入门#5：OpenID Connect混合流身份验证和API访问令牌

Note
对于任何前提条件（例如模板），请查看 overview first.

在之前的快速入门中，我们探讨了API访问和用户身份验证。现在我们要把这两个部分放在一起。

OpenID Connect和OAuth 2.0组合的优点在于，您可以通过单一协议和与令牌服务的一次交换来实现。

在上一个快速入门中，我们使用了OpenID Connect隐式流程。在隐式流中，所有令牌都是通过浏览器传输的，这对于身份令牌是完全可以的。现在我们还想请求访问令牌。

访问令牌比身份令牌更敏感，如果不需要，我们不希望将它们公开给“外部”世界。 OpenID Connect包含一个称为“ Hybrid Flow”的流程，该流程使我们两全其美，身份令牌是通过浏览器通道传输的，因此客户端可以在进行更多工作之前对其进行验证。如果验证成功，则客户端将打开通向令牌服务的反向通道，以检索访问令牌。

修改客户端配置

不需要太多修改。首先，我们要允许客户端使用混合流，此外，我们还希望客户端允许进行服务器到服务器的API调用，这些调用不在用户的上下文中（这与我们的客户端凭据快速入门非常相似）。这是使用AllowedGrantTypes属性表示的。

接下来，我们需要添加一个客户端密码。这将用于在反向通道上检索访问令牌。

最后，我们还为客户端提供了offline_access范围的访问权限-这允许为长时间的API访问请求刷新令牌：

new Client
{
    ClientId = "mvc",
    ClientName = "MVC Client",
    AllowedGrantTypes = GrantTypes.Hybrid,

    ClientSecrets =
    {
        new Secret("secret".Sha256())
    },

    RedirectUris           = { "http://localhost:5002/signin-oidc" },
    PostLogoutRedirectUris = { "http://localhost:5002/signout-callback-oidc" },

    AllowedScopes =
    {
        IdentityServerConstants.StandardScopes.OpenId,
        IdentityServerConstants.StandardScopes.Profile,
        "api1"
    },
    AllowOfflineAccess = true
};

修改MVC客户端

MVC客户端上的修改也很少-ASP.NET Core OpenID Connect处理程序具有对混合流的内置支持，因此我们只需要更改一些配置值即可。

我们将ClientSecret配置为与IdentityServer上的secret匹配。添加offline_access和api1范围，并将ResponseType设置为code id_token（这基本上意味着“使用混合流”）。为了使website声明保留在我们的mvc客户身份中，我们需要使用ClaimActions明确映射声明。

.AddOpenIdConnect("oidc", options =>
{
    options.SignInScheme = "Cookies";

    options.Authority = "http://localhost:5000";
    options.RequireHttpsMetadata = false;

    options.ClientId = "mvc";
    options.ClientSecret = "secret";
    options.ResponseType = "code id_token";

    options.SaveTokens = true;
    options.GetClaimsFromUserInfoEndpoint = true;

    options.Scope.Add("api1");
    options.Scope.Add("offline_access");
    options.ClaimActions.MapJsonKey("website", "website");
});

当您运行MVC客户端时，除了同意屏幕现在会要求您提供其他API和脱机访问范围之外，没有太大区别。

使用访问令牌

OpenID Connect处理程序会自动为您保存令牌（在我们的情况下为身份，访问和刷新）。这就是SaveTokens设置的作用。

Cookie检查视图会迭代这些值并在屏幕上显示它们。

从技术上讲，令牌存储在cookie的属性部分中。访问它们的最简单方法是使用Microsoft.AspNetCore.Authentication命名空间中的扩展方法。

例如：

var accessToken = await HttpContext.GetTokenAsync("access_token")
var refreshToken = await HttpContext.GetTokenAsync("refresh_token");

要使用访问令牌访问API，您所需要做的就是获取令牌，并将其设置在HttpClient上：

public async Task<IActionResult> CallApi()
{
    var accessToken = await HttpContext.GetTokenAsync("access_token");

    var client = new HttpClient();
    client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
    var content = await client.GetStringAsync("http://localhost:5001/identity");

    ViewBag.Json = JArray.Parse(content).ToString();
    return View("json");
}

创建一个名为json.cshtml的视图，该视图将输出json，如下所示：

<pre>@ViewBag.Json</pre>

确保API正在运行，启动MVC客户端，并在身份验证后调用/home/CallApi。

Source code here

最后编辑于：2020.04.27 15:24:26