IdentityServer4实现OAuth2.0四种模式之客户端模式

一，准备内容

IdentityServer4 是Asp.net core的一个中间件，用于添加符合OpenId Connect和OAuth2.0规范的终端到Asp.net Core应用。在这里简单介绍一下Openid和OAuth2.0。

OpenId：用户身份认证（Authentication ）。当用户（End User）在微信、Google等OpenId提供者（OpenID Provider）平台注册账户时会产生一个身份标识，这个身份标识就是OpenId，当用户登录第三方应用（Relying Part）时如果Relying Part支持OpenId登录，会生成一个带有重定向地址的Url跳至OpenId Provider平台登录界面，用户登录成功后，根据重定向地址带着OpenId跳回Relying Part，标识着用户身份认证成功，该用户在OpenId Provider平台有注册。Relying Part根据OpenId自动注册账户，至此身份认证结束。有时Relying Part需要从Openid Provider那获取该用户的更多信息或资源，OpenId Provider需要对Relying Part的请求进行授权管理，这时就用要到OAuth2.0。

OAuth2.0：用户访问授权（Authorization）。OAuth2.0是一个JWT(Json Web Token ，Json格式Web令牌)解决方案。其最终目的是给用户一个包含加密令牌的JSON字符串，这个令牌内包含授权信息，决定了该用户可以访问那些资源。OAuth2.0协议规定了4种取得令牌的方式，可以参考这篇文章OAuth2.0的四种方式。

Openid Connect：实际上就是将Openid与OAuth2.0结合起来，解决身份认证和身份授权的问题。

客户端模式只对客户端进行授权，不涉及到用户信息。如果你的api需要提供到第三方应用，第三方应用自己做用户授权，不需要用到你的用户资源，就可以用客户端模式，只对客户端进行授权访问api资源。

二，创建Asp.net Core 项目

微软提供了一些针对IdentityServer4的项目模板，在命令行中输入” dotnet new -i IdentityServer4.Templates“即可安装，安装好后可以看到当前已安装的项目模板，其中有一个"is4empty"，其实就是一个asp.net core 应用装了IdentityServer4包。在命令行中输入：dotnet new is4empty -n Projectname 就会根据这个模板生成一个新项目。下图是我的项目，一个api客户端、一个mvc客户端,一个identityserver4服务端，其中Api客户端是受保护的Api资源，Mvc客户端是第三方客户端，用于访问被保护的Api客户端，可以看成是任意后端程序。

• 配置IdentityServer服务器，如果是用的is4empty模板创建的项目，已经有一些简单配置，后面我们慢慢深化

  public void ConfigureServices(IServiceCollection services)
        {
            //添加IdentityServer
            var builder = services.AddIdentityServer()
                //身份信息授权资源
                .AddInMemoryIdentityResources(Config.GetIdentityResources())
                //API访问授权资源
                .AddInMemoryApiResources(Config.GetApis())
                //添加客户端
                .AddInMemoryClients(Config.GetClients());

            if (Environment.IsDevelopment())
            {
                builder.AddDeveloperSigningCredential();
            }
            else
            {
                throw new Exception("need to configure key material");
            }
        }

        public void Configure(IApplicationBuilder app)
        {
            if (Environment.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }
            //使用IdentityServer中间件
            app.UseIdentityServer();
        }

　　为了能更好的查看调试日志，使用窗口调试，可以在Properties/launchSettings.json中可以更改监听地址，默认为5000

启动项目后使用浏览器打开：http://localhost:5000/.well-known/openid-configuration。可以看到identityserver4的discover说明。

三，配置IdentityServer4

1，添加ApiResource：修改IdentityServer项目的Config类的GetClients方法，添加一个api资源（ApiResource）。每个被保护的API项目必需有对应一个ApiResource，一个ApiResource可以有被多个API标识，客户端请求令牌时根据ApiResource名称决定是否有权限访问这个API。

   public static IEnumerable<ApiResource> GetApis()
        {
            return new ApiResource[] {
                //secretapi:标识名称，Secret Api：显示名称，可以自定义
                new ApiResource("secretapi","Secret Api")
            };
        }

2，添加客户端模式用户：定义好ApiResouce后，再来添加一个客户端，使得这个客户端可以访问secretapi这个资源。修改Config类中的GetClients方法，添加一个用户用于支持客户端模式的请求。

public static IEnumerable<Client> GetClients()
        {
            return new Client[] {

                new Client()
                {
                    //客户端Id
                     ClientId="apiClientCd",
                     //客户端密码
                     ClientSecrets={new Secret("apiSecret".Sha256()) },
                     //客户端授权类型，ClientCredentials:客户端凭证方式
                     AllowedGrantTypes=GrantTypes.ClientCredentials,
                     //允许访问的资源
                     AllowedScopes={
                        "secretapi"
                    }
                }
            };
        }

四，配置API客户端

1，配置API项目监听端口和调试方式

2，配置Api项目认证

IdentityApi.Startup.cs

public void ConfigureServices(IServiceCollection services)
        {
            services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);
            services.AddAuthentication("Bearer").AddJwtBearer(r => {
                //认证地址
                r.Authority = "http://localhost:5000";
                //权限标识
                r.Audience = "secretapi";
                //是否必需HTTPS
                r.RequireHttpsMetadata = false;
            });
        }

        // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
        public void Configure(IApplicationBuilder app, IHostingEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }
            else
            {
                // The default HSTS value is 30 days. You may want to change this for production scenarios, see https://aka.ms/aspnetcore-hsts.
                app.UseHsts();
            }
            app.UseHttpsRedirection();
            //使用认证中间件
            app.UseAuthentication();
            app.UseMvcWithDefaultRoute();
        }

3，添加接口：新建一个空的Api控制器（IdentityController），在这个控制器中添加一个Api：GetUserClaims

  [ApiController]
    public class IdentityController : ControllerBase
    {
        [HttpGet]
        [Route("api/identity")]
        [Microsoft.AspNetCore.Authorization.Authorize]
        public object GetUserClaims()
        {
            return User.Claims.Select(r => new { r.Type, r.Value });
        }
    }

这时GetUserClaims这个Api是访问不了的，用PostMan访问时返回401未认证状态

五，访问受保护的Api

要访问上面那个受保护的Api，分为2步，第一步从IdentityServer获取token，第二步把这个token使用Bearer authorization 方式添加到Http请求头。

 1，在IdentityMvc项目访问受保护的Api

IdentityMvc项目安装一个Nuget包：IdentityModel，这个包对HttpClient对象有扩写，封装了一些IdentityServer的常用请求。修改IdentityServer的监听端口为5002，使用窗口调试。

在IdentityMvc的HomeController.cs新增一个控制器GetData

  public async Task<IActionResult> GetData()
        {
            var client = new HttpClient();
            var disco = await client.GetDiscoveryDocumentAsync("http://localhost:5000");
            if (disco.IsError)
                return new JsonResult(new { err=disco.Error});
            var token= await client.RequestClientCredentialsTokenAsync(new ClientCredentialsTokenRequest() {
                //获取Token的地址
                Address = disco.TokenEndpoint,
                //客户端Id
                ClientId = "apiClientCd",
                //客户端密码
                ClientSecret = "apiSecret",
                //要访问的api资源
                Scope = "secretapi"
            });
            if (token.IsError)
                return new JsonResult(new { err = token.Error });
            client.SetBearerToken(token.AccessToken);
            string data = await client.GetStringAsync("https://localhost:5001/api/identity");
            JArray json = JArray.Parse(data);
            return new JsonResult(json);
        }

访问https://localhost:5002/home/getdata可以看到已经成功返回数据

2，使用原生HTTP请求访问受保护的Api

获取access_token：直接打开http://localhost:5000/.well-known/openid-configuration，找到token_endpoint节点

使用PostMan对该节点发送如下Post请求获取access_token

访问被保护的Api

由于使用的是Bearer认证机制，所以添加一个名为Authorization的Http请求头，请求头的内容是字符串“Bearer”+空格+获取到的Token：Bearer Token

下一篇：dentityServer4实现OAuth2.0之密码模式.