學習筆記之IdentityServer4（一）

快速入門IdentityServer4

• 概述

• • 將 IdentityServer 新增到 ASP.NET Core 應用程式
  • 配置 IdentityServer
  • 為各種客戶發行代幣
  • 保護 Web 應用程式和 API
  • 新增對基於 EntityFramework 的配置的支援
  • 新增對 ASP.NET 標識的支援

• 準備
• 安裝模板

　　　　　　控制檯視窗輸入該命令,下載 IdentityServer 模板

dotnet new -i IdentityServer4.Templates　//

• • 建立專案

　　　　　　開啟控制檯視窗，請在控制檯視窗鍵入以下命令

md quickstart    //建立資料夾，資料夾名稱quickstart
cd quickstart     //進入資料夾quickstart

md src  //建立資料夾，資料夾名稱src
cd src   //進入資料夾src

dotnet new is4empty -n IdentityServer   //建立空專案，專案名稱IdentityServer

　　　　　　命令執行完成後，將會建立以下檔案

　　　　　　　　IdentityServer.csproj- 專案檔案和一個Properties\launchSettings.json檔案

　　　　　　　　Program.cs和Startup.cs- 主應用程式入口點

　　　　　　　　Config.cs - IdentityServer 資源和客戶端配置檔案

　　　　　　如果需要使用Visual Studio作為開發工具，我們還需要建立解決方案檔案，命令如下：

dotnet new sln -n Quickstart

　　　　 　 我們需要將檔案新增至解決方案，命令如下：（請注意路徑是否正確）

dotnet sln add .\src\IdentityServer\IdentityServer.csproj

• 開始學習

　　　　　專案建立成功之後，將會為我們建立config 檔案，Config檔案的程式碼如下：

using IdentityServer4.Models;
using System.Collections.Generic;

namespace IdentityServer
{
    public static class Config
    {
        public static IEnumerable<IdentityResource> IdentityResources =>
            new IdentityResource[]
            { 
                new IdentityResources.OpenId()
            };

        public static IEnumerable<ApiScope> ApiScopes =>
            new ApiScope[]
            { };

        public static IEnumerable<Client> Clients =>
            new Client[] 
            { };
    }
}

• 自定義API範圍

 public static IEnumerable<ApiScope> ApiScopes =>
        new List<ApiScope>
        {
            new ApiScope("api1", "MyApiName")
        };
//ApiScope建構函式提供兩個引數，第一個引數為name，第二個引數為displayname

　　　　如果您在生產環境種使用自定義API範圍，您為您的API提供一個邏輯名稱很重要，開發人員將使用它通過您的身份伺服器請求您的API，它應該用簡單的術語向開發人員描述您的api，displayname為使用者提供apiScope的描述名稱

• 定義客戶端

　　 　　我們將要定義一個客戶端應用程式，我們將用它來訪問我們的API，對於這種情況，客戶端沒有互動式使用者，並將使用IdentityServer使用客戶端金鑰進行身份驗證。為此我們需要新增一個客戶端

　

public static IEnumerable<Client> Clients =>
            new[]
            {
                new Client
                {
                    ClientId = "client",

                    AllowedGrantTypes=GrantTypes.ClientCredentials,

                    ClientSecrets =
                    {
                        new Secret("secret","sha256")
                    },
                    AllowedScopes = { "api1" }
                }
            };

　　　　您可以將 ClientId 和 ClientSecret 視為應用程式本身的登入名和密碼。它向身份伺服器標識您的應用程式，以便它知道哪個應用程式正在嘗試連線到它。

• 配置身份伺服器

　　　　在Startup.cs檔案中的ConfigureServices方法種定義資源和客戶端，程式碼如下：

 public void ConfigureServices(IServiceCollection services)
 {
     // uncomment, if you want to add an MVC-based UI
     //services.AddControllersWithViews();

     var builder = services.AddIdentityServer(options =>
     {
          // see https://identityserver4.readthedocs.io/en/latest/topics/resources.html
          options.EmitStaticAudienceClaim = true;
     })
     .AddInMemoryIdentityResources(Config.IdentityResources)
     .AddInMemoryApiScopes(Config.ApiScopes)
     .AddInMemoryClients(Config.Clients);

     // not recommended for production - you need to store your key material somewhere secure
     builder.AddDeveloperSigningCredential();
}

 

　　   配置您的身份伺服器之後，訪問路徑https://localhost:5001/.well-known/openid-configuration，我們將會看到發現文件，發現文件是身份伺服器種的標準節點，您的客戶端和API將使用該文件來檢視必要的配置資料，節點文件如下：

{
    "issuer":"https://localhost:5001",
    "jwks_uri":"https://localhost:5001/.well-known/openid-configuration/jwks",
    "authorization_endpoint":"https://localhost:5001/connect/authorize",
    "token_endpoint":"https://localhost:5001/connect/token",
    "userinfo_endpoint":"https://localhost:5001/connect/userinfo",
    "end_session_endpoint":"https://localhost:5001/connect/endsession",
    "check_session_iframe":"https://localhost:5001/connect/checksession",
    "revocation_endpoint":"https://localhost:5001/connect/revocation",
    "introspection_endpoint":"https://localhost:5001/connect/introspect",
    "device_authorization_endpoint":"https://localhost:5001/connect/deviceauthorization",
    "frontchannel_logout_supported":true,
    "frontchannel_logout_session_supported":true,
    "backchannel_logout_supported":true,
    "backchannel_logout_session_supported":true,
    "scopes_supported":[
        "openid",
        "api1",
        "offline_access"
    ],
    "claims_supported":[
        "sub"
    ],
    "grant_types_supported":[
        "authorization_code",
        "client_credentials",
        "refresh_token",
        "implicit",
        "urn:ietf:params:oauth:grant-type:device_code"
    ],
    "response_types_supported":[
        "code",
        "token",
        "id_token",
        "id_token token",
        "code id_token",
        "code token",
        "code id_token token"
    ],
    "response_modes_supported":[
        "form_post",
        "query",
        "fragment"
    ],
    "token_endpoint_auth_methods_supported":[
        "client_secret_basic",
        "client_secret_post"
    ],
    "id_token_signing_alg_values_supported":[
        "RS256"
    ],
    "subject_types_supported":[
        "public"
    ],
    "code_challenge_methods_supported":[
        "plain",
        "S256"
    ],
    "request_parameter_supported":true
}

　　　在第一次啟動時，IdentityServer 會為你建立一個開發者簽名金鑰，它是一個名為tempkey.jwk. 您不必將該檔案簽入您的原始碼管理，如果它不存在，它將被重新建立

• 新增API測試

　　 　　建立API專案，命令如下：

dotnet new webapi -n Api

　　　　將API專案新增至解決方案

dotnet sln add .\src\Api\Api.csproj

　　　　修改API專案的應用配置，修改執行埠號，我們可以通過編輯Properties 資料夾中的launchSettings.json檔案來執行此操作，將應用程式的URL設定更改為：

"applicationUrl": "https://localhost:6001"

• 新增控制器

　　 我們新建一個類，為IdentityController，此測試類將用於測試授權要求，以及通過API視覺化身份識別

　　

using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;

namespace Api.Controllers
{
    [Route("identity")]
    [Authorize]
    public class IdentityController: ControllerBase
    {
        public IActionResult Get()
        {
            return new JsonResult(from c in User.Claims select new { c.Type, c.Value });
        }
    }
}

　　新增NuGet包依賴專案：Microsoft.AspNetCore.Authentication.JwtBearer，我們可以手動新增，也可以執行如下命令：

dotnet add .\\src\\api\\Api.csproj package Microsoft.AspNetCore.Authentication.JwtBearer

• 配置

　　最後一步是將身份驗證服務新增到DI(依賴注入) 並將身份驗證中介軟體新增到管道中，這些操作將：

• • 驗證傳入的令牌以確保它來自受信任者的發行者
  • 驗證令牌是否有效與此API一起使用

　　我們檢視以下API中的Startup程式碼，我們將其更新如下：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Builder;
using Microsoft.AspNetCore.Hosting;
using Microsoft.AspNetCore.HttpsPolicy;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Configuration;
using Microsoft.Extensions.DependencyInjection;
using Microsoft.Extensions.Hosting;
using Microsoft.Extensions.Logging;
using Microsoft.IdentityModel.Tokens;
using Microsoft.OpenApi.Models;

namespace Api
{
    public class Startup
    {
        public Startup(IConfiguration configuration)
        {
            Configuration = configuration;
        }

        public IConfiguration Configuration { get; }

        // This method gets called by the runtime. Use this method to add services to the container.
        public void ConfigureServices(IServiceCollection services)
        {

            services.AddControllers();
            services.AddSwaggerGen(c =>
            {
                c.SwaggerDoc("v1", new OpenApiInfo { Title = "Api", Version = "v1" });
            });

            services.AddAuthentication("Bearer").AddJwtBearer("Bearer", options =>
            {
                options.Authority = "https://localhost:5001";

                options.TokenValidationParameters = new TokenValidationParameters
                {
                    ValidateAudience = false
                };
            });

        }

        // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
        public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
                app.UseSwagger();
                app.UseSwaggerUI(c => c.SwaggerEndpoint("/swagger/v1/swagger.json", "Api v1"));
            }

            app.UseHttpsRedirection();

            app.UseRouting();

            app.UseAuthentication();
            app.UseAuthorization();

            app.UseEndpoints(endpoints =>
            {
                endpoints.MapControllers();
            });

        }
    }
}

　　 AddAuthentication將身份驗證服務新增到 DI 並配置Bearer為預設方案。

　　 UseAuthentication 將身份驗證中介軟體新增到管道中，因此每次呼叫主機時都會自動執行身份驗證。

　　 UseAuthorization 新增授權中介軟體以確保匿名客戶端無法訪問我們的 API 端點。

　　 https://localhost:6001/identity在瀏覽器上導航到控制器應返回 401 狀態程式碼。這意味著您的 API 需要憑證並且現在受 IdentityServer 保護。