IdentityServer4在Asp.Net Core中的应用(三)
今天的内容是授权模式中的简化模式，还是先看以下授权流程图：
在这种模式中我们将与OpenID结合使用，所以首先我们要了解OpenID和OAuth的区别，关于他们的区别，在我上一篇博客《理解OpenID和OAuth的区别》中做了的一些简要的介绍，这里不再多说。
授权服务器我们还是在之前的基础上改动，首先我们需要在Config类里面添加对OpenID Connect Identity Scopes的支持，与OAuth2.0相比，OIDC(OpenID Connect)同样需要Scopes的概念，他也需要保护Scopes范围的内容而也需要让用户去访问的内容，但是OIDC中这里的范围并不是用户要访问的API，而是用户标识、用户名、Email等信息。
添加对OpenId（SubjectId） Profile(first name last name etc...)的支持范围，并返回一个IdentityReSource的集合，添加以下代码：
//添加对OpenID Profile范围的支持
public static IEnumerable<IdentityResource> GetIdentityResources()
{
return new List<IdentityResource>{
new IdentityResources.OpenId(),
new IdentityResources.Profile(),
};
}
再天际一个客户端，基于Implicit授权模式，添加以下代码：
new Client(){
ClientId="impClient",
AllowedGrantTypes=GrantTypes.Implicit,
//用于登录成功后的RedirectUri
RedirectUris={"http://localhost:5004/signin-oidc"},
//用于注销后的RedirectUri
PostLogoutRedirectUris={"http://localhost:5004/signout-callback-oidc"},
//允许访问的范围
AllowedScopes={
IdentityServerConstants.StandardScopes.OpenId,
IdentityServerConstants.StandardScopes.Profile
}
}
下面我们还要将IdentityResource注入到IdentityServer中，在ConfigureService中，添加：
.AddInMemoryIdentityResources(Config.GetIdentityResources())
修改返回的TestUser的方法，在每一个用户中添加一个声明属性的集合，返回一个name和address信息，改动如下：
return new List<TestUser>{
new TestUser(){
SubjectId="1",
Username="allen",
Password="123456",
Claims=new List<Claim>
{
new Claim("name","Allen"),
new Claim("address","http://allen.com")
}
},
new TestUser(){
SubjectId="2",
Username="alisa",
Password="123456",
Claims=new List<Claim>
{
new Claim("name","Alisa"),
new Claim("address","http://alisa.com")
}
}
OIDC所需的所有协议已经内置在IdentityServer4中了，需要为登录、注销、同意授权内容以及错误等提供UI的部分，IdentityServer4提供了一个简单的基于MVC的UI界面，我们可以直接download到我们的服务端里，在控制台使用命令：
如果你是Windows系统，使用以下命令：
iex ((New-Object System.Net.WebClient).DownloadString('https://raw.githubusercontent.com/IdentityServer/IdentityServer4.Quickstart.UI/release/get.ps1'))
如果你是MacOS或者Linux用户，使用：
\curl -L https://raw.githubusercontent.com/IdentityServer/IdentityServer4.Quickstart.UI/release/get.sh | bash
执行完成后，会发现多了一个QuickStart文件夹，放置了所用到的Controller，Views文件夹下也放置了对应的视图，
由于我创建的是WebApi项目，所以还要在StartUp.cs里面将原来我们注释掉的app.UseMvc()解开，另外在配置默认路由前还要添加使用静态文件，以使用我们的静态文件夹下的样式，app.UseStaticFiles(); 以上内容都修改完成后，下面我们新建一个Mvc的项目，去请求我们的授权服务器，如何创建不再赘述，创建完成后添加对OIDC认证的支持，在ConfigureServices的方法中添加以下代码：
using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Builder;
using Microsoft.AspNetCore.Hosting;
using Microsoft.Extensions.Configuration;
using Microsoft.Extensions.DependencyInjection;
using System.IdentityModel.Tokens.Jwt;
namespace MvcClient
{
public class Startup
{
public Startup(IConfiguration configuration)
{
Configuration = configuration;
}
public IConfiguration Configuration { get; }
// This method gets called by the runtime. Use this method to add services to the container.
public void ConfigureServices(IServiceCollection services)
{
JwtSecurityTokenHandler.DefaultInboundClaimTypeMap.Clear();
//添加认证服务到DI中，
services.AddAuthentication(options=>{
//使用Cookies作为唯一的认证用户的主要手段
options.DefaultScheme="Cookies";
//需要用户登录才可进入该应用程序，使用OpenID Connect scheme
options.DefaultChallengeScheme="oidc";
})
//添加可以处理Cookie的处理程序
.AddCookie("Cookies")
//配置OpenID Connect协议
.AddOpenIdConnect("oidc",options=>{
//OIDC协议执行完成，发布Cookie
options.SignInScheme="Cookies";
//授权服务器地址
options.Authority="http://localhost:5000";
options.RequireHttpsMetadata=false;
//指定客户端Id
options.ClientId="impClient";
//保存令牌在Cookie中
options.SaveTokens=true;
});
services.AddMvc();
}
// This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
if (!env.IsDevelopment())
{
app.UseDeveloperExceptionPage();
}
else
{
app.UseExceptionHandler("/Home/Error");
}
app.UseStaticFiles();
//添加认证中间件
app.UseAuthentication();
app.UseMvc(routes =>
{
routes.MapRoute(
name: "default",
template: "{controller=Home}/{action=Index}/{id?}");
});
}
}
}
注意配置启动时将MvcClient启动端口改为5004，因为我在服务端指定的客户端的端口为5004，接着我们添加一个Action，使他需要进行授权访问，
[Authorize]
public IActionResult Authorize()
{
return View();
}
并添加对应的视图，展示用户信息：
@{
ViewData["Title"] = "Authorize";
}
<h2>Claims：</h2>
<dl>
@foreach (var claim in User.Claims)
{
<dt>@claim.Type</dt>
<dd>@claim.Value</dd>
}
</dl>
至此，我们的配置就完成了，下面我们运行看下效果，首先run下服务端，再启动我们的客户端，客户端点击Authorize菜单：
这个就对应我们那个需要QQ登录的界面了，需要通过认证，我们输入我们事先配置的用户名和密码，allen 123456,
到consent页面是要通过我们的授权，将我们用户信息共享给客户端，现在我们选择用户profile，点击允许：
当我们点击不允许读取用户信息的时候：
在不允许读取的情况下，我们是无法看到用户名的。下面我们再添加一个注销登录的方法，
//注销登录
public async Task LogOut()
{
await HttpContext.SignOutAsync("Cookies");
await HttpContext.SignOutAsync("oidc");
}
执行退出：
至此整个Implicit授权模式的过程就进行完了。
扫描二维码关注我的公众号，共同学习，共同进步！
