前言
IdentityServer4 是為ASP.NET Core系列量身打造的一款基于 OpenID Connect 和 OAuth 2.0 認證的框架
IdentityServer4官方檔案：https://identityserver4.readthedocs.io/
看這篇文章前默認你對IdentityServer4 已經有一些了解，
本篇使用IdentityServer4的4.x版本，跟老版本的稍微有些差別，下面直接進入正題，
鑒權中心
創建IdentityServer4專案
使用IdentityServer4 來搭建一個鑒權中心，首先建議安裝一下IdentityServer4的官方專案模板，也可以不安裝，自己創建專案，然后NuGet安裝需要的包也行，（不過還是推薦用官方的模板，很方便），
命令列執行：dotnet new -i IdentityServer4.Templates
安裝完成后會多出以下專案模板：
我這里選用is4inmem這個模板來創建專案，這個模板的資料都是寫死在記憶體中的，并且包含了Quickstart頁面，比較簡單方便，
來到我的專案目錄下執行：dotnet new is4inmem --name Idp
執行完成會生成以下檔案：
VS2019打開專案：
運行專案：
配置ApiResource、ApiScope、Clients
修改Startup：
// in-memory, code config
builder.AddInMemoryIdentityResources(Config.IdentityResources);
builder.AddInMemoryApiScopes(Config.ApiScopes);
//添加API資源
builder.AddInMemoryApiResources(Config.ApiResources);
builder.AddInMemoryClients(Config.Clients);
這里比之前版本多了一個添加ApiScopes的方法：
builder.AddInMemoryApiScopes(Config.ApiScopes);
因為我接下來有要保護的API資源，所以需要添加一行：
builder.AddInMemoryApiResources(Config.ApiResources);
Config中的代碼：
public static class Config
{
public static IEnumerable<IdentityResource> IdentityResources =>
new IdentityResource[]
{
new IdentityResources.OpenId(),
new IdentityResources.Profile(),
};
public static IEnumerable<ApiScope> ApiScopes =>
new ApiScope[]
{
new ApiScope("scope1"),
//new ApiScope("scope2"),
};
public static IEnumerable<ApiResource> ApiResources =>
new ApiResource[]
{
new ApiResource("api1","#api1")
{
//!!!重要
Scopes = { "scope1"}
},
//new ApiResource("api2","#api2")
//{
// //!!!重要
// Scopes = { "scope2"}
//},
};
public static IEnumerable<Client> Clients =>
new Client[]
{
new Client
{
ClientId = "postman client",
ClientName = "Client Credentials Client",
AllowedGrantTypes = GrantTypes.ClientCredentials,
ClientSecrets = { new Secret("postman secret".Sha256()) },
AllowedScopes = { "scope1" }
},
};
}
我添加了一個ID為postman client的客戶端，授權模式就用最簡單的ClientCredentials客戶端模式，需要注意的是4.x版本的ApiScope和ApiResource是分開配置的，然后在ApiResource中一定要添加Scopes，如果你在網上搜的IdentityServer4教程比較老的，都是沒有這個ApiScope的，默認ApiResource的Name作為Scope，類似這樣：
public static IEnumerable<ApiResource> ApiResources =>
new ApiResource[]
{
new ApiResource("api1","#api1"),//錯誤
new ApiResource("api2","#api2"),//錯誤
};
public static IEnumerable<Client> Clients =>
new Client[]
{
new Client
{
......
AllowedScopes = { "api1", "api2" }
},
};
如果你這么寫的話，雖然不影響你獲取token，但是你訪問api資源的話，永遠會得到一個401錯誤！！！
ApiResource
下面添加一個api1資源，新建asp.netcore web應用并使用webapi模板：
NuGet安裝：Microsoft.AspNetCore.Authentication.JwtBearer
Startup部分代碼：
public void ConfigureServices(IServiceCollection services)
{
services.AddControllers();
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options =>
{
//IdentityServer地址
options.Authority = "http://localhost:5001";
//對應Idp中ApiResource的Name
options.Audience = "api1";
//不使用https
options.RequireHttpsMetadata = https://www.cnblogs.com/xhznl/p/false;
});
}
// This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
if (env.IsDevelopment())
{
app.UseDeveloperExceptionPage();
}
app.UseHttpsRedirection();
app.UseRouting();
//身份驗證
app.UseAuthentication();
//授權
app.UseAuthorization();
app.UseEndpoints(endpoints =>
{
endpoints.MapControllers();
});
}
給WeatherForecastController添加[Authorize]標記：
運行Api1Resource，用postman測驗訪問weatherforecast介面：
此時得到401錯誤，下面先去Idp獲取一個token：
拿到token后再去訪問weatherforecast就沒問題了：
進行到這里，好像跟scope都沒什么關系，那么scope到底有什么用處呢？
ApiScope策略授權
繼續修改代碼，
Api1Resource專案NuGet安裝：IdentityServer4.AccessTokenValidation
再新建一個TestController用于區分：
下面我需要做的是使用scope結合策略授權來分別限制TestController和WeatherForecastController的訪問權限，
修改Startup：
public void ConfigureServices(IServiceCollection services)
{
......
services.AddAuthorization(options =>
{
//基于策略授權
options.AddPolicy("WeatherPolicy", builder =>
{
//客戶端Scope中包含api1.weather.scope才能訪問
builder.RequireScope("api1.weather.scope");
});
//基于策略授權
options.AddPolicy("TestPolicy", builder =>
{
//客戶端Scope中包含api1.test.scope才能訪問
builder.RequireScope("api1.test.scope");
});
});
}
為了好理解，我把scope名稱分別改成了：api1.weather.scope和api1.test.scope，
WeatherForecastController的Authorize標記修改一下：[Authorize(Policy = "WeatherPolicy")]
TestController的代碼很簡單：
因為修改了scope名稱，需要把Idp中的scope名稱也改一下：
public static IEnumerable<ApiScope> ApiScopes =>
new ApiScope[]
{
new ApiScope("api1.weather.scope"),
new ApiScope("api1.test.scope"),
//new ApiScope("scope2"),
};
public static IEnumerable<ApiResource> ApiResources =>
new ApiResource[]
{
new ApiResource("api1","#api1")
{
//!!!重要
Scopes = { "api1.weather.scope", "api1.test.scope" }
},
//new ApiResource("api2","#api2")
//{
// //!!!重要
// Scopes = { "scope2"}
//},
};
客戶端定義，AllowedScopes暫時只給一個api1.weather.scope測驗一下
public static IEnumerable<Client> Clients =>
new Client[]
{
new Client
{
ClientId = "postman client",
ClientName = "Client Credentials Client",
AllowedGrantTypes = GrantTypes.ClientCredentials,
ClientSecrets = { new Secret("postman secret".Sha256()) },
AllowedScopes = { "api1.weather.scope" }
},
};
postman獲取token：
訪問weatherforecast介面，正常回應200，
再訪問test，得到403錯誤：
接下來修改一下Idp的客戶端定義，添加api1.test.scope：
AllowedScopes = { "api1.weather.scope", "api1.test.scope" }
修改Idp后一定要重新獲取token，jwt就是這樣，一旦生成就無法改變，
拿到新的token后訪問test和weatherforecast，這時候就都可以正常回應了，
總結
以上使用IdentityServer4搭建了一個鑒權中心，保護API資源，并使用ApiScope配合策略授權完成了一個簡單的權限控制，IdentityServer4的玩法非常多，知識點也很多，強烈推薦B站的@solenovex 楊老師的視頻，地址：https://www.bilibili.com/video/BV16b411k7yM 多看幾遍，會有識訓，，，
需要代碼的點這里：https://github.com/xiajingren/IdentityServer4-4.x-Scope-Demo
轉載請註明出處，本文鏈接：https://www.uj5u.com/net/4885.html
標籤：.NET Core
上一篇：在 Xunit 中使用依賴注入