第六节：IdentityServer4设备流授权模式和扫码登录(应用于IOT)

一. 模式探究

1.背景

　　在一些输入受限的设备上，要完成用户名和口令的输入是非常困难的，设备授权模式，可让用户登录到智能电视、 IoT 物联网设备或打印机等输入受限的设备。 若要启用此流，设备会让用户在另一台设备上的浏览器中访问一个网页，以进行登录。 用户登录后，设备可以获取所需的访问令牌和刷新令牌。

2.运行流程

图一：

图二：

大致流程：

1. 客户端通过携带ClientId、ClientSecret，请求IDS4服务器，请求成功，返回：DeviceCode、VerificationUriComplete

2. 客户端将url写入二维码，或者用浏览器直接打开，进入授权页面。这期间，客户端携带ClientId、ClientSecret、DeviceCode不断轮询请求IDS4服务器，看是否已经授权。

3. 上面的授权页面，用户输入账号、密码，确认授权。

4. 客户端通过轮询得知已经授权，且拿到返回值 accessToken。

5. 客户端携带accessToken，请求资源服务器。

参考：

　　微软OAuth 2.0 设备代码流：https://docs.microsoft.com/zh-cn/azure/active-directory/develop/v2-oauth2-device-code

　　百度Device授权模式：https://developer.baidu.com/wiki/index.php?title=docs/oauth/device

　　IDS4代码参考：https://damienbod.com/2019/02/20/asp-net-core-oauth-device-flow-client-with-identityserver4/

二. 代码实操与剖析

1. 项目准备

　(1). IDS4_Server2: 授权认证服务器

　(2). ResourceServer: 资源服务器

　(3). WinformClient1：基于winform的客户端 (.Net下的，非Core下)

2.搭建步骤

(一).IDS4_Server2

　(1).通过Nuget安装【IdentityServer4    4.0.2】程序集

　(2).集成IDS4官方的UI页面

　　进入ID4_Server2的根目录,cdm模式下依次输入下面指令,集成IDS4相关的UI页面,发现新增或改变了【Quickstart】【Views】【wwwroot】三个文件夹

　　A.【dotnet new -i identityserver4.templates】

　　B.【dotnet new is4ui --force】 其中--force代表覆盖的意思, 空项目可以直接输入：【dotnet new is4ui】,不需要覆盖。

　PS. 有时候正值版本更新期间，上述指令下载下来的文件可能不是最新的,这个时候只需要手动去下载，然后把上述三个文件夹copy到项目里即可

　(下载地址：https://github.com/IdentityServer/IdentityServer4.Quickstart.UI）

　(3).创建配置类 Config1

　　A.配置api的范围集合：ApiScope, 在4.x版本中必须配置

　　B.配置需要保护Api资源：ApiResource,每个resource后面都需要配置对应的Scope

　　C.配置可以访问的客户端资源：Client。重点配置设备流模式：GrantTypes.DeviceFlow。

　　D.配置可以访问的用户资源：TestUser

代码分享：

 public class Config1
    {

        /// <summary>
        /// 声明api的Scope(范围)集合
        /// IDS4 4.x版本必须写的
        /// </summary>
        /// <returns></returns>
        public static IEnumerable<ApiScope> GetApiScopes()
        {
            List<ApiScope> scopeList = new List<ApiScope>();
            scopeList.Add(new ApiScope("ResourceServer"));
            return scopeList;
        }

        /// <summary>
        /// 定义需要保护的Api资源
        /// </summary>
        /// <returns></returns>
        public static IEnumerable<ApiResource> GetApiResources()
        {
            List<ApiResource> resources = new List<ApiResource>();
            //ApiResource第一个参数是ServiceName，第二个参数是描述
            resources.Add(new ApiResource("ResourceServer", "ResourceServer服务需要保护哦") { Scopes = { "ResourceServer" } });
            return resources;
        }

        /// <summary>
        /// 定义可以使用ID4 Server 客户端资源
        /// </summary>
        /// <returns></returns>
        public static IEnumerable<Client> GetClients()
        {
            List<Client> clients = new List<Client>() {
                new Client
                {
                    ClientId = "client1",//客户端ID                             
                    AllowedGrantTypes = GrantTypes.DeviceFlow, //验证类型：设备流模式
                    RequireConsent = true,          //手动确认授权
                    ClientSecrets ={ new Secret("0001".Sha256())},    //密钥和加密方式
                    AllowedScopes = { "ResourceServer" },        //允许访问的api服务
                    AlwaysIncludeUserClaimsInIdToken=true
                }
            };
            return clients;
        }

        /// <summary>
        /// 定义可以使用ID4的用户资源
        /// </summary>
        /// <returns></returns>
        public static List<TestUser> GetUsers()
        {
            var address = new
            {
                street_address = "One Hacker Way",
                locality = "Heidelberg",
                postal_code = 69118,
                country = "Germany"
            };
            return new List<TestUser>()
            {
                new TestUser
                {
                        SubjectId = "001",
                        Username = "ypf1",    //账号
                        Password = "123456",  //密码
                        Claims =
                        {
                            new Claim(JwtClaimTypes.Name, "Alice Smith"),
                            new Claim(JwtClaimTypes.GivenName, "Alice"),
                            new Claim(JwtClaimTypes.FamilyName, "Smith"),
                            new Claim(JwtClaimTypes.Email, "AliceSmith@email.com"),
                            new Claim(JwtClaimTypes.EmailVerified, "true", ClaimValueTypes.Boolean),
                            new Claim(JwtClaimTypes.WebSite, "http://alice.com"),
                            new Claim(JwtClaimTypes.Address, JsonSerializer.Serialize(address), IdentityServerConstants.ClaimValueTypes.Json)
                        }
                 },
                 new TestUser
                 {
                        SubjectId = "002",
                        Username = "ypf2",
                        Password = "123456",
                        Claims =
                        {
                            new Claim(JwtClaimTypes.Name, "Bob Smith"),
                            new Claim(JwtClaimTypes.GivenName, "Bob"),
                            new Claim(JwtClaimTypes.FamilyName, "Smith"),
                            new Claim(JwtClaimTypes.Email, "BobSmith@email.com"),
                            new Claim(JwtClaimTypes.EmailVerified, "true", ClaimValueTypes.Boolean),
                            new Claim(JwtClaimTypes.WebSite, "http://bob.com"),
                            //这是新的序列化模式哦
                            new Claim(JwtClaimTypes.Address, JsonSerializer.Serialize(address), IdentityServerConstants.ClaimValueTypes.Json)
                        }
                  }
            };
        }

    }

　(4).在Startup类中注册、启用、修改路由

　　 A.在ConfigureService中进行IDS4的注册.

　 　B.在Configure中启用IDS4 app.UseIdentityServer();

　　 C.路由，这里需要注意，不要和原Controllers里冲突即可,该项目中没有Controllers文件夹，不要特别配置。

代码分享：

 public class Startup
    {
        public Startup(IConfiguration configuration)
        {
            Configuration = configuration;
        }

        public IConfiguration Configuration { get; }

        // This method gets called by the runtime. Use this method to add services to the container.
        public void ConfigureServices(IServiceCollection services)
        {
            services.AddControllersWithViews();
            services.AddIdentityServer()
               .AddDeveloperSigningCredential()    //生成Token签名需要的公钥和私钥,存储在bin下tempkey.rsa(生产场景要用真实证书，此处改为AddSigningCredential)
               .AddInMemoryApiScopes(Config1.GetApiScopes())       //存储所有的scopes
               .AddInMemoryApiResources(Config1.GetApiResources())  //存储需要保护api资源
                .AddTestUsers(Config1.GetUsers())          //存储用户信息
               .AddInMemoryClients(Config1.GetClients()); //存储客户端模式(即哪些客户端可以用)
        }

        // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
        public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }
            else
            {
                app.UseExceptionHandler("/Home/Error");
            }
            app.UseStaticFiles();
            app.UseRouting();


            //启用IDS4
            app.UseIdentityServer();
            app.UseAuthorization();
            app.UseEndpoints(endpoints =>
            {
                endpoints.MapControllerRoute(
                    name: "default",
                    pattern: "{controller=Home}/{action=Index}/{id?}");
            });
        }
    }

　(5).配置启动端口,直接设置默认值： webBuilder.UseStartup<Startup>().UseUrls("http://127.0.0.1:7000");

　(6).修改属性方便调试：项目属性→ 调试→应用URL(p)，改为：http://127.0.0.1:7000 （把IISExpress和控制台启动的方式都改了，方便调试）

图：

(二).ResourceServer

　(1).通过Nuget安装 【IdentityServer4.AccessTokenValidation 3.0.1】

　(2).在ConfigureService通过AddIdentityServerAuthentication连接ID4服务器，进行校验,使用的是Bear认证方式。这里ApiName中的“ResourceServer”必须是ID4中GetApiResources中添加的。

特别注意：这个Authority要用127.0.0.1, 不用Localhost，因为我们获取token的时候，使用的地址也是127.0.0.1，必须对应起来.

　(3).在Config中添加认证中间件 app.UseAuthentication();

代码分享：

  public class Startup
    {
        public Startup(IConfiguration configuration)
        {
            Configuration = configuration;
        }

        public IConfiguration Configuration { get; }

        // This method gets called by the runtime. Use this method to add services to the container.
        public void ConfigureServices(IServiceCollection services)
        {
            services.AddControllers();

            //校验AccessToken,从身份校验中心(IDS4_Server2)进行校验
            services.AddAuthentication(IdentityServerAuthenticationDefaults.AuthenticationScheme)  //Bear模式
                    .AddIdentityServerAuthentication(options =>
                    {
                        options.Authority = "http://127.0.0.1:7000"; // 1、授权中心地址
                        options.ApiName = "ResourceServer"; // 2、api名称(项目具体名称)
                        options.RequireHttpsMetadata = false; // 3、https元数据，不需要
                    });
        }

        // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
        public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }
            app.UseRouting();

            //认证中间件(服务于上ID4校验，一定要放在UseAuthorization之前)
            app.UseAuthentication();
            app.UseAuthorization();

            app.UseEndpoints(endpoints =>
            {
                endpoints.MapControllers();
            });
        }
    }

　(4).新建一个GetMsg接口，并加上特性[Authorize]。

代码分享：

 [Route("api/[controller]/[action]")]
    [ApiController]
    public class HomeController : ControllerBase
    {

        /// <summary>
        /// 资源服务器的api
        /// </summary>
        /// <returns></returns>
        [Authorize]
        [HttpGet]
        public string GetMsg()
        {
            //快速获取token的方式
            string token = HttpContext.GetTokenAsync("access_token").Result;

            return $"ypf";
        }
    }

　(5).配置启动端口,直接设置默认值： webBuilder.UseStartup<Startup>().UseUrls("http://127.0.0.1:7001");

　(6).修改属性方便调试：项目属性→ 调试→应用URL(p)，改为：http://127.0.0.1:7001 （把IISExpress和控制台启动的方式都改了，方便调试）

图：

(三).WinformClient1

　(1).通过Nuget安装【QRCoder 1.3.9】 【IdentityModel 4.3.0】

　(2).请求IDS4服务器,拿到一个url，写入二维码，并显示二维码；客户端此时在轮询请求IDS4，看是否已经授权成功。

　(3).正常应该用手机扫描二维码，进行授权，这里为了方便演示, 用浏览器直接打开这个地址，代替手机扫描

　eg：Process.Start(new ProcessStartInfo(deviceResponse.VerificationUriComplete) { UseShellExecute = true });

　(4).授权成功后,客户端拿着返回的accessToken，继续请求api资源服务器,请求成功

代码分享：

   }
        private async void Form1_Load(object sender, EventArgs e)
        {
            var client = new HttpClient();
            var disco = await client.GetDiscoveryDocumentAsync("http://127.0.0.1:7000");    //IDS4服务器
            var deviceResponse = await client.RequestDeviceAuthorizationAsync(new DeviceAuthorizationRequest
            {
                Address = disco.DeviceAuthorizationEndpoint,
                ClientId = "client1",
                ClientSecret = "0001"
            });
            //生成二维码
            CreateQrCode(deviceResponse.VerificationUriComplete);
            //通过浏览器打开地址
            Process.Start(new ProcessStartInfo(deviceResponse.VerificationUriComplete) { UseShellExecute = true });
            //轮询请求
            string accessToken;
            while (true)
            {
                // request token
                var tokenResponse = await client.RequestDeviceTokenAsync(new DeviceTokenRequest
                {
                    Address = disco.TokenEndpoint,
                    ClientId = "client1",
                    ClientSecret = "0001",
                    DeviceCode = deviceResponse.DeviceCode
                });
                if (!tokenResponse.IsError)
                {
                    accessToken = tokenResponse.AccessToken;                 
                    break;
                }
                await Task.Delay(TimeSpan.FromSeconds(deviceResponse.Interval));
                //await Task.Delay(TimeSpan.FromSeconds());
            }
            await CallApiAsync(accessToken);
        }



        /// <summary>
        /// 请求api资源
        /// </summary>
        /// <param name="token"></param>
        /// <returns></returns>
        private async Task CallApiAsync(string token)
        {
            // call api
            var apiClient = new HttpClient();
            apiClient.SetBearerToken(token);
            var response = await apiClient.GetAsync("http://127.0.0.1:7001/api/Home/GetMsg");
            if (!response.IsSuccessStatusCode)
            {
                var msg= response.Content.ReadAsStringAsync().Result;
                this.pictureBox1.Visible = false;   //隐藏二维码
                this.label2.Text = msg;  //显示返回结果
                //MessageBox.Show($"api返回值为:{msg}");
            }
            else
            {
                var msg = response.Content.ReadAsStringAsync().Result;
                this.pictureBox1.Visible = false;   //隐藏二维码
                this.label2.Text = msg;   //显示返回结果
                //MessageBox.Show($"api返回值为:{msg}");
            }
        }



        /// <summary>
        /// 生成二维码
        /// </summary>
        /// <param name="verificationUriComplete"></param>
        public void CreateQrCode(string verificationUriComplete)
        {
            QRCodeGenerator qrGenerator = new QRCodeGenerator();
            QRCodeData qrCodeData = qrGenerator.CreateQrCode(verificationUriComplete, QRCodeGenerator.ECCLevel.Q);
            QRCode qrCode = new QRCode(qrCodeData);
            Bitmap qrCodeImage = qrCode.GetGraphic(6);
            this.pictureBox1.Image = Image.FromHbitmap(qrCodeImage.GetHbitmap());
        }

窗体：

PS:详细的流程剖析详见下面的剖析测试

3.剖析测试

测试过程如下：

(PS:不知为啥fiddler捕捉不到winfrom发送的http请求，这里只能通过截图来说明了)

!

• 作       者 : Yaopengfei(姚鹏飞)
• 博客地址 : http://www.cnblogs.com/yaopengfei/
• 声     明1 : 如有错误，欢迎讨论，请勿谩骂^_^。
• 声     明2 : 原创博客请在转载时保留原文链接或在文章开头加上本人博客地址，否则保留追究法律责任的权利。