第五节：IdentityServer4的Pkce机制、令牌刷新机制、混合授权模式
一. PKCE机制
1. 准备
(1). IDS4_Server1：认证授权服务器
(2). MvcClient1：web客户端
然后将上述两个项目配置成授权码模式（如何配置见上一节 IdentityServer4授权码模式介绍和代码实操演练）
PS: PKCE机制是在授权码模式的基础上，增加了几个验证参数，使其更加安全。
2. 代码配置
(1).IDS4_Server1中的Config1，新增 RequirePkce = true, 开启Pkce授权校验。
(2).MvcClient1中的ConfigureServices中, 新增options.UsePkce = true;开启Pkce. （默认就是true，所以可以省略）
PS:实际上在上一节的授权码模式中已经开启了pkce，只是没有单独点明增加的参数的含义。
3. 剖析测试
(1).在导向认证服务器的请求和确认授权页面的请求中，新增两个参数：code_challenge 和 code_challenge_method.
(2).客户端携带授权码请求认证服务器的时候,携带的参数中新增: code_verifier
二. 令牌刷新机制
1. 准备
(1). IDS4_Server1：认证授权服务器
(2). MvcClient1：web客户端
然后将上述两个项目配置成授权码模式（如何配置见上一节 IdentityServer4授权码模式介绍和代码实操演练）
2.代码配置
(1).IDS4_Server1中的Config1,新增如下代码：
(2).MvcClient1中的ConfigureServices中,新增如下代码：
options.Scope.Add(OpenIdConnectScope.OfflineAccess); options.TokenValidationParameters.ClockSkew = TimeSpan.FromMinutes(1); options.TokenValidationParameters.RequireExpirationTime = true;
3.运行结果
页面显示多了个： refresh_token
注意过期时间：Token.expires_at
三. 混合授权模式
1. 背景
access token 不含有任何关于身份认证的信息（用户声明信息），access token 的生命期可能会非常的长，即使用户离开了它仍有可能有效，它还有可能被用于无最终用户参与的情况，还有一种情况就是 access token 可能会被其它的客户端应用借用。所以，无论客户端是如何得到的 access token, 它都无法从 access token 里得到最终用户的信息以及最终用户的身份认证状态（用户声明信息）。
在 OAuth2.0 里，access token 不是为客户端准备的，它对于客户端应该是不透明的， 但是客户端也需要从 access token 得到一些用户信息，实际上客户端应用只是 access token 的展示者, access token
真正的目标观众是被保护的资源.
在 OpenID Connect 里，加了一个 ID Token 令牌，它会和 access token 一同发送给客户端用，用于识别当前用户是他声称的的用户.
2. 核心代码
IDS4服务器：AllowedGrantTypes = GrantTypes.Hybrid
代码分享：
/// <summary> /// 混合模式 /// </summary> public class Config2 { /// <summary> /// IDS资源 /// </summary> /// <returns></returns> public static IEnumerable<IdentityResource> GetIds() { return new List<IdentityResource> { new IdentityResources.OpenId(), new IdentityResources.Profile(), }; } /// <summary> /// 可以使用ID4 Server 客户端资源 /// </summary> /// <returns></returns> public static IEnumerable<Client> GetClients() { List<Client> clients = new List<Client>() { new Client { ClientId = "client1", ClientSecrets = { new Secret("123456".Sha256()) }, //混合模式 AllowedGrantTypes = GrantTypes.Hybrid, //需要确认授权 RequireConsent = true, //关闭PKCE校验(默认是true) RequirePkce = false, //允许token通过浏览器 AllowAccessTokensViaBrowser=true, // where to redirect to after login(登录) RedirectUris = { "http://127.0.0.1:7072/signin-oidc" }, // where to redirect to after logout(退出) PostLogoutRedirectUris = { "http://127.0.0.1:7072/signout-callback-oidc" }, //允许的范围 AllowedScopes = new List<string> { IdentityServerConstants.StandardScopes.OpenId, IdentityServerConstants.StandardScopes.Profile }, AlwaysIncludeUserClaimsInIdToken=true, //允许脱机访问 AllowOfflineAccess=true, //accessToken有效期,默认事3600秒,即1小时 (单位：秒) AccessTokenLifetime = 600 } }; return clients; } /// <summary> /// 定义可以使用ID4的用户资源 /// </summary> /// <returns></returns> public static List<TestUser> GetUsers() { var address = new { street_address = "One Hacker Way", locality = "Heidelberg", postal_code = 69118, country = "Germany" }; return new List<TestUser>() { new TestUser { SubjectId = "001", Username = "ypf1", //账号 Password = "123456", //密码 Claims = { new Claim(JwtClaimTypes.Name, "Alice Smith"), new Claim(JwtClaimTypes.GivenName, "Alice"), new Claim(JwtClaimTypes.FamilyName, "Smith"), new Claim(JwtClaimTypes.Email, "AliceSmith@email.com"), new Claim(JwtClaimTypes.EmailVerified, "true", ClaimValueTypes.Boolean), new Claim(JwtClaimTypes.WebSite, "http://alice.com"), new Claim(JwtClaimTypes.Address, JsonSerializer.Serialize(address), IdentityServerConstants.ClaimValueTypes.Json) } }, new TestUser { SubjectId = "002", Username = "ypf2", Password = "123456", Claims = { new Claim(JwtClaimTypes.Name, "Bob Smith"), new Claim(JwtClaimTypes.GivenName, "Bob"), new Claim(JwtClaimTypes.FamilyName, "Smith"), new Claim(JwtClaimTypes.Email, "BobSmith@email.com"), new Claim(JwtClaimTypes.EmailVerified, "true", ClaimValueTypes.Boolean), new Claim(JwtClaimTypes.WebSite, "http://bob.com"), //这是新的序列化模式哦 new Claim(JwtClaimTypes.Address, JsonSerializer.Serialize(address), IdentityServerConstants.ClaimValueTypes.Json) } } }; } }
Mvc客户端：options.ResponseType = OpenIdConnectResponseType.CodeIdToken
代码分享：
{ JwtSecurityTokenHandler.DefaultMapInboundClaims = false; //添加Cookie认证 services.AddAuthentication(options => { options.DefaultScheme = "Cookies"; options.DefaultChallengeScheme = "oidc"; }) .AddCookie("Cookies") //通过OIDC协议远程请求认证 .AddOpenIdConnect("oidc", options => { options.Authority = "http://127.0.0.1:7070"; //认证授权服务器地址 options.RequireHttpsMetadata = false; options.ClientId = "client1"; //客户端ID options.ClientSecret = "123456"; //客户端秘钥 //混合模式 options.ResponseType = OpenIdConnectResponseType.CodeIdToken; options.ResponseMode = OpenIdConnectResponseMode.FormPost; options.SaveTokens = true; //开启token时间的校验 options.Scope.Add(OpenIdConnectScope.OfflineAccess); options.TokenValidationParameters.ClockSkew = TimeSpan.FromMinutes(1); options.TokenValidationParameters.RequireExpirationTime = true; }); }
特别注意：要关闭pkce的验证,否则会报错 code challenge required. 代码：RequirePkce = false
!
- 作 者 : Yaopengfei(姚鹏飞)
- 博客地址 : http://www.cnblogs.com/yaopengfei/
- 声 明1 : 如有错误，欢迎讨论，请勿谩骂^_^。
- 声 明2 : 原创博客请在转载时保留原文链接或在文章开头加上本人博客地址，否则保留追究法律责任的权利。
