.NET Core IdentityServer4实战 第一章-入门与API添加客户端凭据

内容：本文带大家使用identityserver4进行对api授权保护的基本策略

作者：zara(张子浩) 欢迎分享，但需在文章鲜明处留下原文地址。

　　本文将要讲述如何使用identityserver4对api授权保护以及如何携带token进行访问受保护的api，通过httpclient或http请求中的body这些我们都可以达到。那么废话不多说，开始吧~

　　首先我们一定要知道，我们访问要访问一个受安全限制的api的锁子是在一个专门的identityserver4验证服务器。所以呢，我们需要创建一个认证服务器。首先我们创建一个api项目。

创建完成之后，我们再创建一个config.cs，当然这个名字你随意，但你需要在di注入的时候与其对应。在 getsoluction 中定义了我们的api,也就是受保护的锁子，第一个参数是name,也就是api的名称，那么后面是显示的名字，也就是displayname。在 getclients 当中我们定义了受信任的客户端，其中有客户端的id，授权方式，客户端加密方式，通过 allowedscopes  还定义了这个客户端可以访问的api。

using identityserver4.models;
using system.collections.generic;

namespace identityserversolution
{
    /// <summary>
    /// zaranet 2019.1.26 14.10 create this file
    /// config是identityserver的配置文件，一会我们需要注册到di层。
    /// </summary>
    public class config
    {
        /// <summary>
        /// 这个apiresource参数就是我们api
        /// </summary>
        /// <returns></returns>
        public static ienumerable<apiresource> getsoluction()
        {
            return new[]
            {
               new apiresource("api1", "my api")
            };
        }
        public static ienumerable<client> getclients()
        {
            return new list<client>
            {
                new client
                {
                    clientid = "client",
                    allowedgranttypes = granttypes.clientcredentials,
                    clientsecrets = {
                        new secret("secret".sha256()),
                    },
                    allowedscopes = {"api1"}
                }
            };
        }
    }
}

 　　我们现在已经写好了关于identityserver4服务器的配置文件，那么我们还需要去依赖注入到.net core管道中，现在我们看一下定义。

// this method gets called by the runtime. use this method to add services to the container.
        public void configureservices(iservicecollection services)
        {
            services.addidentityserver()
                .addinmemoryapiresources(config.getsoluction())
                    .addinmemoryclients(config.getclients())
                        .adddevelopersigningcredential();

            services.addmvc().setcompatibilityversion(compatibilityversion.version_2_1);
        }

        // this method gets called by the runtime. use this method to configure the http request pipeline.
        public void configure(iapplicationbuilder app, ihostingenvironment env)
        {
            //添加认证中间件
            app.useidentityserver();
            if (env.isdevelopment())
            {
                app.usedeveloperexceptionpage();
            }
            app.usemvc();
        }

　　就是这样 - 如果您运行服务器并浏览浏览器  http://localhost:您的端口/.well-known/openid-configuration ，您应该会看到所谓的发现文档。客户端和api将使用它来下载必要的配置数据。

 首次启动时，identityserver将为您创建一个开发人员签名密钥，它是一个名为的文件tempkey.rsa。您不必将该文件检入源代码管理中，如果该文件不存在，将重新创建该文件。

 

 　　以下是用postman进行的测试，以httppost方式进行请求，并在http body中进行编辑请求体上下文，测试结果如下。如果三个参数没有问题就返回token，如果其中三个参数有一个写错，那么就会返回400错误（error:invalid_client）。

 下面在api项目中添加控制器：

　　 [route("identity")]
    [authorize]
    [apicontroller]
    public class identitycontroller : controllerbase
    {
        [httpget]
        public iactionresult get()
        {
            return new jsonresult(from c in user.claims select new { c.type, c.value });
        }
    }

　　稍后将使用此控制器来测试授权要求，以及通过api的眼睛可视化声明身份。现在我们将身份验证服务添加到di和身份验证中间价到管道中，验证传入令牌以确保它来自受信任的颁发者。

将startup更新为如下所示：

public void configureservices(iservicecollection services)
        {
            services.addmvccore()
                    .addauthorization()
                    .addjsonformatters();
            services.addauthentication("bearer")
           .addjwtbearer("bearer", options =>
           {
               options.authority = "http://localhost:58653";
               options.requirehttpsmetadata = false;

               options.audience = "api1";
           });
            services.addmvc().setcompatibilityversion(compatibilityversion.version_2_1);
        }

        // this method gets called by the runtime. use this method to configure the http request pipeline.
        public void configure(iapplicationbuilder app, ihostingenvironment env)
        {
            app.useauthentication();
            if (env.isdevelopment())
            {
                app.usedeveloperexceptionpage();
            }
            app.usemvc();
        }

 addauthentication 是为了用于将identityserver4访问令牌验证处理程序将在di中提供身份验证服务。 useauthentication 将身份验证中间件添加到管道中，以便在每次调用主机时自动执行身份验证。如果你现在转到 http://localhost:prot/identity
中是401错误的话，说明api已经得到了保护。配置成功了！，现在我们要创建我们的客户端了。去访问受保护的api需要携带钥匙，那么这个钥匙术语叫做令牌，那就是通往大门的令牌！现在立刻创建一个控制台程序，使用令牌访问api。
首先我们需要安装identitymodel，因为它可以替我们找到元数据。

identitymodel包括用于发现端点的客户端库。这样您只需要知道identityserver的基地址 - 可以从元数据中读取实际的端点地址：

var client = new httpclient();
var disco = await client.getdiscoverydocumentasync("http://localhost:58653");
if (disco.iserror)
{
    console.writeline(disco.error);
    return;
}

 接下来，您可以使用发现文档中的信息来请求令牌：

var tokenresponse = await client.requestclientcredentialstokenasync(new clientcredentialstokenrequest
            {
                address = disco.tokenendpoint,
                clientid = "client",    //id
                clientsecret = "secret", //pwd
                scope = "api1"  //请求的api
            });

            if (tokenresponse.iserror)
            {
                console.writeline(tokenresponse.error);
                return;
            }

要将访问令牌发送到api，通常使用http authorization标头。这是使用 setbearertoken 扩展方法完成的：

var apiclient = new httpclient();
            apiclient.setbearertoken(tokenresponse.accesstoken);

            var response = await client.getasync("http://localhost:58653/identity");
            if (!response.issuccessstatuscode)
            {
                console.writeline(response.statuscode);
            }
            else
            {
                var content = await response.content.readasstringasync();
                console.writeline(jarray.parse(content));
            }

 就这样，我们启动结果如下，启动顺序，应先启动身份认证平台，然后再启动api，在启动控制台调试工具。

 　　就这样一个简单的identityserver4身份认证平台就ok了，现在是不是想要迫切的试一下呢？哈哈，关于源代码，我放到我的coding中了，地址是：https://coding.net/u/zaranet/p/identityserver，当然不要看着简单，还是自己敲一下吧，如果你一点都没有碰过identityserver的话。下面我们在回顾一下。

　　我们在 identityserversoluction 中定义了 config 文件，用于id4的配置，主要功能是为了认证模型，其中还设置了client请求文中的 clientid 这些参数等等。那么 identityapi 就是我们的项目服务，其中通过 authorize 标记的都是具有安全保护的api控制器，那么我们就需要去获取我们的identityserversoluction 中的验证，这样我们才可以访问，那么我们就用了.net core控制台程序去模拟了这个过程，其中涉及了 httpclient 相关知识。那么最后返回了我们的相关 token ，这样，我们可以根据 token 去获取我们想要的api服务了！

　　最后祝大家春运快乐。下一篇干货在等大家噢！