IdentityServer相关问题

identityServer4相关问题

前言

相信大家IdentityServer相关的文章、视频已经看了不少。甚至实际也写过一些相关的代码。但是，要问你懂了里面的原理吗？我感觉要打一个问号。这一篇不讲原理，只讲一下，ids4作为验证中心，部署发布到K8s存在的一些问题。

chorme浏览器，使用Cookie认证失效。

参考文章：
https://juejin.im/post/6844904088165941262
https://blog.csdn.net/sinat_36521655/article/details/104844667

        public void ConfigureServices(IServiceCollection services)
        {
            services.AddMvc();

            JwtSecurityTokenHandler.DefaultInboundClaimTypeMap.Clear();

            services.AddAuthentication(options =>
                {
                    options.DefaultScheme = "Cookies";
                    options.DefaultChallengeScheme = "oidc";
                })
                .AddCookie("Cookies")
                .AddOpenIdConnect("oidc", options =>
                {
                    options.Authority = "http://localhost:5000";
                    options.RequireHttpsMetadata = false;

                    options.ClientId = "mvc";
                    options.SaveTokens = true;
                });
        }

上面的代码是我的客户端认证代码，可以看到我的本地认证是用的“Cookies” 认证。我输入账户密码后，通过http://localhost:5000这个地址认证，认证通过后，会往浏览器写入一个Cookie,然后拿着这个cookie，跳转访问到我的MVC客户端的主页。但是我们发现,登陆成功后，我们仍然跳转到了登陆页面。原因是：cookie写入失败，我们跳转访问MVC客户端的主页认证失败，所以重新又跳回了登录页。

image.png

我们看到有两个黄色的感叹号，这代表我请求写入cookie时失败了。这是因为chorme的跨域cookie策略导致的，具体参考我上面的两个链接的文章。那怎么解决呢？因为chorme是有一个策略，使用https时，可以跨站写入cookie。但是我测试环境搭建https比较麻烦，我正式环境为了安全我还是用https。所以我们的解决方案如下：

1.ids4服务端加上cookie策略，当正式环境时，必须为https，测试环境时，可以用http

        public static IServiceCollection AddCustomAuthentication(this IServiceCollection services, 
            IConfiguration configuration, IWebHostEnvironment environment)
        {
            services.AddAuthentication()
                .AddCookie(options =>
                {
                    options.Cookie.SameSite = SameSiteMode.None;
                    options.Cookie.HttpOnly = true;
                    options.Cookie.SecurePolicy = environment.IsDevelopment()
                        ? CookieSecurePolicy.SameAsRequest
                        : CookieSecurePolicy.Always;
                })

            return services;
        }

2.浏览器显式关闭该功能。

地址栏输入：chrome://flags/
找到SameSite by default cookies和Cookies without SameSite must be secure
将上面两项设置为 Disable
这样，我们问题就解决了。

授权服务（ids4）部署到k8s，验证码图片看不到

参考文章：
https://www.cnblogs.com/stulzq/p/10172550.html
https://github.com/dotnet/dotnet-docker/issues/618

其实这个问题，跟ids4没啥关系，只不过我们的登录验证这个项目叫identity，这个是用ids4验证的，就一起写了。我们的验证码请求访问的是identity这个项目，但是我把它发布到k8s后发现看不到验证码的图片。具体原因上面两个文章写的很清楚了，我就不写了。写这个只是上面的dockerfile和命令比较老，docker build时会报错，所以解决方案具体dockerfile如下：

FROM base AS final
WORKDIR /app

#解决验证码图片不能显示
RUN sed -i "s@http://deb.debian.org@http://mirrors.aliyun.com@g" /etc/apt/sources.list 
RUN apt-get update -y && apt-get install -y libgdiplus && apt-get clean && ln -s /usr/lib/libgdiplus.so /usr/lib/gdiplus.dll

#解决发布k8s后，连接sqlserver连不上
RUN sed -i 's/MinProtocol = TLSv1.2/MinProtocol = TLSv1/g' /etc/ssl/openssl.cnf
RUN sed -i 's/MinProtocol = TLSv1.2/MinProtocol = TLSv1/g' /usr/lib/ssl/openssl.cnf
COPY --from=publish /app/publish .

各位只用将这两行命令，复制进dockerfile就好，第一行是改镜像源，为了加速。第二行是安装。

RUN sed -i "s@http://deb.debian.org@http://mirrors.aliyun.com@g" /etc/apt/sources.list 
RUN apt-get update -y && apt-get install -y libgdiplus && apt-get clean && ln -s /usr/lib/libgdiplus.so /usr/lib/gdiplus.dll

授权服务（ids4）部署到k8s,偶尔登录需要点两次，不稳定

因为ids4自带antiforgery Token检测，而antiforgery Token每次应用程序启动都会变，所以分布式部署时，经常出现登录点两次，将antiforgery Token做持久化，并用redis保存就好