IdentityServer4中OpenID Connect如何添加用户认证

IdentityServer4是一个用于ASP.NET Core的开源框架，用于实现OpenID Connect和OAuth 2.0协议。它允许你为应用程序添加身份验证和授权功能。本文将详细介绍如何在IdentityServer4中使用OpenID Connect添加用户认证。

1. 什么是OpenID Connect？

OpenID Connect（OIDC）是建立在OAuth 2.0协议之上的一个身份验证层。它允许客户端应用程序通过身份提供者（Identity Provider, IdP）来验证用户的身份，并获取用户的基本信息。OpenID Connect的核心是ID Token，它是一个JSON Web Token（JWT），包含了用户的身份信息。

2. IdentityServer4简介

IdentityServer4是一个实现了OpenID Connect和OAuth 2.0协议的框架。它可以用作身份提供者（IdP），为客户端应用程序提供身份验证和授权服务。IdentityServer4支持多种身份验证方式，包括用户名/密码、外部身份提供者（如Google、Facebook）等。

3. 配置IdentityServer4

在开始之前，你需要确保已经安装了IdentityServer4的NuGet包。你可以通过以下命令安装：

dotnet add package IdentityServer4

3.1 创建IdentityServer4项目

首先，创建一个新的ASP.NET Core项目：

dotnet new webapi -n IdentityServerDemo
cd IdentityServerDemo

然后，添加IdentityServer4的依赖：

dotnet add package IdentityServer4

3.2 配置IdentityServer4

在Startup.cs文件中，配置IdentityServer4服务：

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        services.AddIdentityServer()
            .AddDeveloperSigningCredential() // 用于开发环境的签名证书
            .AddInMemoryApiResources(Config.GetApiResources()) // 配置API资源
            .AddInMemoryClients(Config.GetClients()) // 配置客户端
            .AddTestUsers(Config.GetUsers()); // 添加测试用户
    }

    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        if (env.IsDevelopment())
        {
            app.UseDeveloperExceptionPage();
        }

        app.UseIdentityServer();
    }
}

3.3 配置API资源和客户端

在Config.cs文件中，定义API资源和客户端：

public static class Config
{
    public static IEnumerable<ApiResource> GetApiResources()
    {
        return new List<ApiResource>
        {
            new ApiResource("api1", "My API")
        };
    }

    public static IEnumerable<Client> GetClients()
    {
        return new List<Client>
        {
            new Client
            {
                ClientId = "client",
                AllowedGrantTypes = GrantTypes.ClientCredentials,
                ClientSecrets =
                {
                    new Secret("secret".Sha256())
                },
                AllowedScopes = { "api1" }
            }
        };
    }

    public static List<TestUser> GetUsers()
    {
        return new List<TestUser>
        {
            new TestUser
            {
                SubjectId = "1",
                Username = "alice",
                Password = "password"
            },
            new TestUser
            {
                SubjectId = "2",
                Username = "bob",
                Password = "password"
            }
        };
    }
}

3.4 添加用户认证

在Startup.cs文件中，添加用户认证服务：

public void ConfigureServices(IServiceCollection services)
{
    services.AddIdentityServer()
        .AddDeveloperSigningCredential()
        .AddInMemoryApiResources(Config.GetApiResources())
        .AddInMemoryClients(Config.GetClients())
        .AddTestUsers(Config.GetUsers());

    services.AddAuthentication("Bearer")
        .AddJwtBearer("Bearer", options =>
        {
            options.Authority = "https://localhost:5001";
            options.RequireHttpsMetadata = false;
            options.Audience = "api1";
        });
}

3.5 配置API保护

在Startup.cs文件中，配置API保护：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }

    app.UseIdentityServer();

    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

4. 创建受保护的API

创建一个简单的API控制器，并使用[Authorize]属性来保护它：

[Route("api/[controller]")]
[ApiController]
public class ValuesController : ControllerBase
{
    [HttpGet]
    [Authorize]
    public ActionResult<IEnumerable<string>> Get()
    {
        return new string[] { "value1", "value2" };
    }
}

5. 测试用户认证

5.1 获取访问令牌

使用Postman或其他HTTP客户端，向IdentityServer4请求访问令牌：

POST /connect/token HTTP/1.1
Host: localhost:5001
Content-Type: application/x-www-form-urlencoded

grant_type=password&username=alice&password=password&scope=api1&client_id=client&client_secret=secret

5.2 访问受保护的API

使用获取到的访问令牌，访问受保护的API：

GET /api/values HTTP/1.1
Host: localhost:5001
Authorization: Bearer <access_token>

6. 总结

通过以上步骤，我们成功地在IdentityServer4中配置了OpenID Connect用户认证，并保护了一个简单的API。IdentityServer4提供了强大的功能，可以轻松地为应用程序添加身份验证和授权功能。在实际应用中，你可以根据需要配置更多的API资源、客户端和用户，以满足复杂的业务需求。

7. 参考资料

• IdentityServer4官方文档
• OpenID Connect官方文档
• ASP.NET Core官方文档

希望本文对你理解和使用IdentityServer4中的OpenID Connect用户认证有所帮助。如果你有任何问题或建议，欢迎在评论区留言。