2. 使用IdentityServer4 实现 OAuth2 ClientCredential 模式

概述

• OAuth2 的几种角色和4种授权模式此处不再赘述，可以查看大神的文章 http://www.ruanyifeng.com/blog/2019/04/oauth-grant-types.html
• 本例将实现最简单的ClientCerdential 客户端认证模式，该模式适合内部API使用。
• 在将来的生产环境中，关于证书和持久化数据功能将在后续案例中实现。

环境

• AspNetCore3.1

步骤

1. 新建一个AuthServer项目

使用AspNetCore 框架新建一个WebAPI项目，命名AuthServer，将此项目作为Token认证授权中心。
添加nuget包：

        <PackageReference Include="IdentityServer4.AspNetIdentity" Version="4.1.1" />

为简单起见，将此服务端口绑定到5010,表明我们认证授权中心的url 地址是 http://localhost:5010

      // 修改launchsettings.json
    "AuthServer": {
      "commandName": "Project",
      "launchBrowser": true,
      "launchUrl": "weatherforecast",
      "applicationUrl": "http://localhost:5010",
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      }

1.1 创建资源

   // 一个静态类,用于提取资源和客户端相关的配置
    public class Config
    {
        public static IEnumerable<ApiResource> GetApiResources
            => new List<ApiResource> { new ApiResource("api", "api1 desc.") { Scopes = { "api" } } };

        public static IEnumerable<Client> GetClients
            => new List<Client> {
                new Client {
                    ClientId="webapi",
                    ClientSecrets=new[] {new Secret("123456".Sha256()) },
                    AllowedGrantTypes=GrantTypes.ClientCredentials,
                    ClientName="console",
                    AllowedScopes={ new ApiScope("api").Name }
            } };


        public static IEnumerable<ApiScope> GetApiScopes
            => new[] { new ApiScope("api")};
    }

需要注意的是在AspNetCore 3.1 使用IdentityService4 的4.x版本时，需要单独定义ApiScope，并且client 的allowscopes 需要和ApiScope 的name一致，否则客户端将无法找到scope。这个设计将scope 和ApiResource 进一步解耦了，关系会更加灵活。

1.2 注册IdentityServer

在DI容器中注册identityserver服务

        public static IServiceCollection AddOAuthClientCreditionPattern(this IServiceCollection services)
        {
            services.AddIdentityServer()
                .AddDeveloperSigningCredential()
                .AddInMemoryApiResources(Config.GetApiResources)
                .AddInMemoryClients(Config.GetClients)
                .AddInMemoryApiScopes(Config.GetApiScopes) // 3.1 新增的坑，不加会报invalid_scope
                ;

            return services;

        }
       // Startup 中启用
        public void ConfigureServices(IServiceCollection services)
        {
            services.AddOAuthClientCreditionPattern();
            services.AddControllers();
        }
       // 启用中间件
        public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }

            app.UseRouting();

            app.UseIdentityServer();   // 启用identityserver 中间件

            app.UseEndpoints(endpoints =>
            {
                endpoints.MapControllers();
            });
        }
     

1.3 启用服务

至此AuthServer 创建成功
访问 endpoint: 发现如下内容；IdentityServer4 已经定义了一系列uri 用于获取token、userinfo等。
我将在后续示例中探讨其他uri，本例要用到的是获取token 的uri： http://localhost:5010/connect/token

{
	"issuer": "http://localhost:5010",
	"jwks_uri": "http://localhost:5010/.well-known/openid-configuration/jwks",
	"authorization_endpoint": "http://localhost:5010/connect/authorize",
	"token_endpoint": "http://localhost:5010/connect/token",
	"userinfo_endpoint": "http://localhost:5010/connect/userinfo",
	"end_session_endpoint": "http://localhost:5010/connect/endsession",
	"check_session_iframe": "http://localhost:5010/connect/checksession",
	"revocation_endpoint": "http://localhost:5010/connect/revocation",
	"introspection_endpoint": "http://localhost:5010/connect/introspect",
	"device_authorization_endpoint": "http://localhost:5010/connect/deviceauthorization",
	"frontchannel_logout_supported": true,
	"frontchannel_logout_session_supported": true,
	"backchannel_logout_supported": true,
	"backchannel_logout_session_supported": true,
	"scopes_supported": ["offline_access"],
	"claims_supported": [],
	"grant_types_supported": ["authorization_code", "client_credentials", "refresh_token", "implicit", "urn:ietf:params:oauth:grant-type:device_code"],
	"response_types_supported": ["code", "token", "id_token", "id_token token", "code id_token", "code token", "code id_token token"],
	"response_modes_supported": ["form_post", "query", "fragment"],
	"token_endpoint_auth_methods_supported": ["client_secret_basic", "client_secret_post"],
	"id_token_signing_alg_values_supported": ["RS256"],
	"subject_types_supported": ["public"],
	"code_challenge_methods_supported": ["plain", "S256"],
	"request_parameter_supported": true
}

至此，authserver 认证授权中心创建OK。下面创建ApiResource，并使Api启用基于的Token OAuth2认证.

1.4 获取token

2. 创建WebApi

Api 客户端使用Identityserver4 只需要nuget 引入一个 IdentityServer4.AccessTokenValidation 包即可。

 <PackageReference Include="IdentityServer4.AccessTokenValidation" Version="3.0.1" />

2.1 新建一个AspNetCore WebApi 项目，将端口绑定到5020。

    "AuthTestApi": {
      "commandName": "Project",
      "launchBrowser": true,
      "launchUrl": "weatherforecast",
      "applicationUrl": "http://localhost:5020",
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development"
      }
    }

2.2 Startup 注册

注册IdentityServer认证服务

        public void ConfigureServices(IServiceCollection services)
        {
            services.AddAuthentication("Bearer")
                .AddIdentityServerAuthentication(options =>
                {
                    options.ApiName = "api";
                    options.ApiSecret = "123456";
                    options.Authority = "http://localhost:5010";
                    options.RequireHttpsMetadata = false;

                });
            services.AddControllers();
        }
        
// 注册中间件
        public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }

            app.UseAuthentication();

            app.UseRouting();

            app.UseAuthorization();

            app.UseEndpoints(endpoints =>
            {
                endpoints.MapControllers();
            });
        }

注意的是： 中间件必须按先后顺序启用 app.UseAuthentication()、app.UseRouting()、app.UseAuthorization();

2.3 访问api 资源

• api 没有添加过滤器时，可以正常访问
  

• 为 接口添加上 Authorize 过滤器

 [Authorize]
    [ApiController]
    [Route("[controller]")]
    public class WeatherForecastController : ControllerBase

此时再访问没有token时，拒绝访问，报401。

添加上文中拿到的token后访问，成功！