IdentityServer4中怎样入门与API添加客户端凭据

IdentityServer4 是一个用于 ASP.NET Core 的 OpenID Connect 和 OAuth 2.0 框架，它可以帮助你实现身份验证和授权功能。本文将介绍如何在 IdentityServer4 中入门，并演示如何为 API 添加客户端凭据。

1. 什么是 IdentityServer4？

IdentityServer4 是一个开源的身份验证和授权框架，它实现了 OpenID Connect 和 OAuth 2.0 协议。它可以帮助你构建安全的身份验证和授权系统，允许客户端应用程序（如 Web 应用、移动应用等）通过令牌（Token）来访问受保护的资源。

1.1 OpenID Connect 和 OAuth 2.0

• OAuth 2.0 是一个授权框架，它允许第三方应用程序在用户授权的情况下访问用户的资源。OAuth 2.0 主要用于授权，而不是身份验证。

• OpenID Connect 是建立在 OAuth 2.0 之上的身份验证协议。它扩展了 OAuth 2.0，允许客户端应用程序验证用户的身份，并获取用户的基本信息。

IdentityServer4 实现了这两个协议，因此你可以使用它来构建一个完整的身份验证和授权系统。

2. 安装 IdentityServer4

要开始使用 IdentityServer4，首先需要创建一个 ASP.NET Core 项目，并安装 IdentityServer4 的 NuGet 包。

2.1 创建 ASP.NET Core 项目

你可以使用 Visual Studio 或者 .NET CLI 来创建一个新的 ASP.NET Core 项目。

dotnet new webapi -n IdentityServerDemo
cd IdentityServerDemo

2.2 安装 IdentityServer4 NuGet 包

接下来，安装 IdentityServer4 的 NuGet 包：

dotnet add package IdentityServer4

3. 配置 IdentityServer4

在安装完 IdentityServer4 后，你需要在 Startup.cs 文件中配置 IdentityServer4。

3.1 配置 IdentityServer4 服务

在 Startup.cs 文件的 ConfigureServices 方法中，添加 IdentityServer4 的服务配置：

public void ConfigureServices(IServiceCollection services)
{
    services.AddIdentityServer()
        .AddDeveloperSigningCredential() // 用于开发环境的签名凭据
        .AddInMemoryApiResources(Config.GetApiResources()) // 添加 API 资源
        .AddInMemoryClients(Config.GetClients()); // 添加客户端
}

3.2 配置 API 资源和客户端

在上面的代码中，我们使用了 Config.GetApiResources() 和 Config.GetClients() 方法来获取 API 资源和客户端配置。你可以在项目中创建一个 Config 类来定义这些配置。

public static class Config
{
    public static IEnumerable<ApiResource> GetApiResources()
    {
        return new List<ApiResource>
        {
            new ApiResource("api1", "My API")
        };
    }

    public static IEnumerable<Client> GetClients()
    {
        return new List<Client>
        {
            new Client
            {
                ClientId = "client",
                AllowedGrantTypes = GrantTypes.ClientCredentials,
                ClientSecrets =
                {
                    new Secret("secret".Sha256())
                },
                AllowedScopes = { "api1" }
            }
        };
    }
}

在这个配置中，我们定义了一个 API 资源 api1 和一个客户端 client。客户端使用客户端凭据（Client Credentials）授权类型，并且只能访问 api1 资源。

3.3 配置 IdentityServer4 中间件

在 Startup.cs 文件的 Configure 方法中，添加 IdentityServer4 的中间件：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }

    app.UseIdentityServer();

    app.UseRouting();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

4. 创建受保护的 API

接下来，我们将创建一个受保护的 API，客户端需要使用有效的令牌来访问这个 API。

4.1 创建 API 控制器

在项目中创建一个新的控制器 ValuesController：

[Route("api/[controller]")]
[ApiController]
public class ValuesController : ControllerBase
{
    [HttpGet]
    [Authorize]
    public ActionResult<IEnumerable<string>> Get()
    {
        return new string[] { "value1", "value2" };
    }
}

在这个控制器中，我们使用了 [Authorize] 属性来保护 Get 方法。只有携带有效令牌的请求才能访问这个方法。

4.2 配置 API 的身份验证

在 Startup.cs 文件的 ConfigureServices 方法中，添加身份验证服务：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication("Bearer")
        .AddJwtBearer("Bearer", options =>
        {
            options.Authority = "https://localhost:5001"; // IdentityServer4 的地址
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateAudience = false
            };
        });

    services.AddAuthorization(options =>
    {
        options.AddPolicy("ApiScope", policy =>
        {
            policy.RequireAuthenticatedUser();
            policy.RequireClaim("scope", "api1");
        });
    });

    services.AddControllers();
}

在这个配置中，我们使用了 JWT Bearer 身份验证方案，并指定了 IdentityServer4 的地址。我们还定义了一个名为 ApiScope 的授权策略，要求用户必须经过身份验证，并且拥有 api1 的 scope。

4.3 应用授权策略

在 ValuesController 中，我们可以应用 ApiScope 授权策略：

[Route("api/[controller]")]
[ApiController]
[Authorize(Policy = "ApiScope")]
public class ValuesController : ControllerBase
{
    [HttpGet]
    public ActionResult<IEnumerable<string>> Get()
    {
        return new string[] { "value1", "value2" };
    }
}

5. 测试客户端凭据授权

现在，我们已经完成了 IdentityServer4 和受保护 API 的配置。接下来，我们将测试客户端凭据授权。

5.1 获取访问令牌

首先，我们需要使用客户端凭据来获取访问令牌。你可以使用 Postman 或者任何 HTTP 客户端来发送请求。

请求 URL: https://localhost:5001/connect/token

请求方法: POST

请求头:

Content-Type: application/x-www-form-urlencoded

请求体:

grant_type=client_credentials
client_id=client
client_secret=secret

发送请求后，你将获得一个访问令牌：

{
    "access_token": "eyJhbGciOiJSUzI1NiIsImtpZCI6Ij...",
    "expires_in": 3600,
    "token_type": "Bearer"
}

5.2 使用访问令牌访问受保护的 API

接下来，使用获取到的访问令牌来访问受保护的 API。

请求 URL: https://localhost:5001/api/values

请求方法: GET

请求头:

Authorization: Bearer eyJhbGciOiJSUzI1NiIsImtpZCI6Ij...

发送请求后，你将获得 API 的响应：

[
    "value1",
    "value2"
]

6. 总结

在本文中，我们介绍了如何在 IdentityServer4 中入门，并演示了如何为 API 添加客户端凭据。通过配置 IdentityServer4 和受保护的 API，你可以轻松地实现身份验证和授权功能。希望本文对你有所帮助，祝你在使用 IdentityServer4 的过程中取得成功！