Asp.Net Core 中IdentityServer4 实战之 Claim详解

一、前言

由于疫情原因，让我开始了以博客的方式来学习和分享技术（持续分享的过程也是自己学习成长的过程），同时也让更多的初学者学习到相关知识，如果我的文章中有分析不到位的地方，还请大家多多指教；以后我会持续更新我的文章，望大家多多支持和关注。
上几篇文章主要分享了identityserver4在asp.net core 3.x 中的应用，在上面的几篇分享中有一部分博友问了我这么一个问题"他通过identityserver4 来搭建授权中心网关服务，怎么才能在访问受保护的api资源中获取到用户的相关的身份信息呢？"。
那这篇文章主要来分享认证过程中的一个重要组成部分claim，在开始之前强烈建议还没看过我写的 identityserver4 系列文章的同学先看一下，下面几篇文章中以架构思维带大家进入identityserver4 的世界

• asp.net core identityserver4 中的基本概念
• asp.net core 中identityserver4 授权中心之应用实战
• asp.net core 中identityserver4 授权中心之自定义授权模式
• asp.net core 中identityserver4 授权原理及刷新token的应用

二、claim 是什么

claim

claim 我的理解是一个声明，存储着一个键值对的关系，就相当于身份证中的 姓名：特朗普 , 性别：男等等身份证的系列元素，每一个项都是一个键值，我们看看claim主要代码

public class claim
{
    public string claimtype { get; set; }

    public string claimvalue { get; set; }
}

代码中主要核心两个属性 claimtype 和claimvalue；claimtype 就是key，claimvalue就代表一个value。这样的话，刚好可以存储一个键值对。这时候姓名：特朗普是不是就可以存进去了。
同时微软也提供了默认的claimtype，部分默认的如下图:

claim 差不多已经介绍完毕，相对比较简单清晰，claim可以说是身份的最小单元的声明(身份单元)。

claimsidentity

我们先来看看claimsidentity的部分代码，代码如下：

public class claimsidentity:iidentity
{
    public claimsidentity(ienumerable<claim> claims){}
    
    //名字这么重要，当然不能让别人随便改啊，所以我不许 set，除了我儿子跟我姓，所以是 virtual 的
    public virtual string name { get; }
    public string label { get; set; }
    
    //身份单元集合
    public virtual ienumerable<claim> claims { get; }
    
    //这是我的证件类型，也很重要，同样不许 set
    public virtual string authenticationtype { get; }
    
    public virtual void addclaim(claim claim);
    
    public virtual void removeclaim(claim claim);
    
    public virtual void findclaim(claim claim);
}

从代码中可以看到有一个claims 属性，是一个集合,看到这里是不是可以把我们的身份证给联想进去呢？我们每个人都有一个“身份证”（claimidentity）,身份证中包含了多个“身份单元”（claim）等信息。
从代码中还有一个特别重要的属性authenticationtype 翻译成认证类型，这里也就相当于证件类型，比如身份证，它的证件类型就是"身份证"，护照证机的证机类型就是"护照"。
同时claimsidentity继承了iidentity抽象接口，我们再来看看这个抽象接口的代码：

// 定义证件对象的基本功能。
public interface iidentity
{
    //证件名称
    string name { get; }
    
    // 用于标识证件的载体类型。
    string authenticationtype { get; }
    
    //是否是合法的证件。
    bool isauthenticated { get; }
}

到这里claimsidentity介绍的差不多了，claimsidentity就相当于是身份证、或者护照之类的东西，一个能够证明身份的证件。

claimsprincipal

一个人有了身份，就会有多重身份，比如你即是司机、校长、公司老板等等，那你就会有驾驶证、教师证、公司的营业执照等证件。那这些证件需要一个载体去容纳，那claimsprincipal这个就相当于是这些证件的载体，我们来看看它的部分核心代码：

    public class claimsprincipal : iprincipal
    {
       
        public claimsprincipal();
       
        public claimsprincipal(ienumerable<claimsidentity> identities);
        
        public claimsprincipal(iidentity identity);
        
        public claimsprincipal(iprincipal principal);
      
        public virtual iidentity identity { get; }
       
        public virtual ienumerable<claimsidentity> identities { get; }
        
        //把证件添加到载体中
        public virtual void addidentities(ienumerable<claimsidentity> identities);
        //把证件添加到载体中
        public virtual void addidentity(claimsidentity identity);
        
        //以下都是从载体中获取证件等操作
        public virtual ienumerable<claim> findall(predicate<claim> match);
      
        public virtual ienumerable<claim> findall(string type);
        
        public virtual claim findfirst(string type);
       
        public virtual claim findfirst(predicate<claim> match);
        
        public virtual bool hasclaim(predicate<claim> match);

        //是否属于某个角色
        public virtual bool isinrole(string role);
    }

claimsprincipal 介绍完了，我这里把claimsprincipal 它叫证件的容器载体
我们已经知道了 “身份单元（claims）” ， “身份证（claimsidentity）” ， “证件容器载体（claimsprincipal)”这三者的关系。
我们简单的来看下身份认证携带信息的简化的流程图：

好了，这里claim相关概念理清楚了，这里也需要感谢下 微软mvp大佬@savorboard 的文章https://www.cnblogs.com/savorboard/p/aspnetcore-identity.html 让我理清楚了这些关系！

三、实战

我这里继续我上几篇文章的代码基础上编写，需要代码的可以访问 https://github.com/a312586670/identityserverdemo 代码会跟着博客同步更新。
上几篇文章中解决方案中已经创建了如下三个项目：

• jlion.netcore.identity :identity公共基础类库
• jlion.netcore.identity.service : ids4授权服务，也是上几篇文章中说的授权中心服务简单版本
• jlion.netcore.identity.userapiservice :用户业务网关（受保护的资源）

授权中心(ids4授权服务)

jlion.netcore.identity.service

我们先在授权中心（ids4）服务中验证用户的代码中添加用户的相关claims,核心代码如下：
不熟悉的请先移步
asp.net core 中identityserver4 授权中心之应用实战 这篇文章

public class resourceownerpasswordvalidator : iresourceownerpasswordvalidator
 {
        public async task validateasync(resourceownerpasswordvalidationcontext context)
        {
            try
            {
                var username = context.username;
                var password = context.password;

                //验证用户,这么可以到数据库里面验证用户名和密码是否正确
                var claimlist = await validateuserasync(username, password);

                // 验证账号
                context.result = new grantvalidationresult
                (
                    subject: username,
                    authenticationmethod: "custom",
                    claims: claimlist.toarray()
                );
            }
            catch (exception ex)
            {
                //验证异常结果
                context.result = new grantvalidationresult()
                {
                    iserror = true,
                    error = ex.message
                };
            }
        }

        #region private method
        /// <summary>
        /// 验证用户
        /// </summary>
        /// <param name="loginname"></param>
        /// <param name="password"></param>
        /// <returns></returns>
        private async task<list<claim>> validateuserasync(string loginname, string password)
        {
            //todo 这里可以通过用户名和密码到数据库中去验证是否存在，
            // 以及角色相关信息，我这里还是使用内存中已经存在的用户和密码
            var user = oauthmemorydata.gettestusers();

            if (user == null)
                throw new exception("登录失败，用户名和密码不正确");
            //我这里为了测试，简单的硬编码，生产环境可以通过数据库中读取到相关信息构造`claim`(**身份单元**)
            return new list<claim>()
            {
                new claim(claimtypes.name, $"{loginname}"),
                new claim(enumuserclaim.displayname.tostring(),"测试用户"),
                new claim(enumuserclaim.userid.tostring(),"10001"),
                new claim(enumuserclaim.merchantid.tostring(),"000100001"),
            };
        }
        #endregion
    }

现在，多个claim已经构建完成，多个claim构建出了一个用户身份，它们都属于即将登录的用户所拥有的身份单元，接下来我们还需要实现iprofileservice抽象接口，
代码如下：

public class userprofileservice : iprofileservice
{
        /// <summary>
        /// 
        /// </summary>
        /// <param name="context"></param>
        /// <returns></returns>
        public async task getprofiledataasync(profiledatarequestcontext context)
        {
            try
            {
                
                var claims = context.subject.claims.tolist(); 
                // 把认证通过的用户身份
                context.issuedclaims = claims.tolist();
            }
            catch { }
        }

        /// <summary>
        /// 
        /// </summary>
        /// <param name="context"></param>
        /// <returns></returns>
        public async task isactiveasync(isactivecontext context)
        {
            context.isactive = true;
        }
    }

getprofiledataasync主要为用户加载claims,实现该代码并且通过addprofileservice<t>()方法添加到di中，才能在api资源中获取到用户的身份信息，代码如下：

  public void configureservices(iservicecollection services)
  {
      services.addcontrollers();

      
      #region 数据库存储方式
      services.addidentityserver()
          .adddevelopersigningcredential()
          .addinmemoryapiresources(oauthmemorydata.getapiresources())
          //.addinmemoryclients(oauthmemorydata.getclients())
          .addclientstore<clientstore>()
          .addresourceownervalidator<resourceownerpasswordvalidator>()
          .addextensiongrantvalidator<weixinopengrantvalidator>()//添加微信端自定义方式的验证(上篇自定义授权方式的代码)
          .addprofileservice<userprofileservice>();

      #endregion

  }

api资源（受保护的资源）

jlion.netcore.identity.userapiservice

我们先来创建useridentityextension扩展类，代码如下：

 public static class useridentityextension
 {
        /// <summary>
        /// 获得用户的name
        /// </summary>
        /// <param name="this"></param>
        /// <returns></returns>
        public static string name(this claimsprincipal @this)
        {
            return @this?.identity?.name;
        }

        /// <summary>
        /// 获得displayname
        /// </summary>
        /// <param name="this"></param>
        /// <returns></returns>
        public static string displayname(this claimsprincipal @this)
        {
            var value = @this?.claims?.firstordefault(oo => oo.type == enumuserclaim.displayname.tostring())?.value;
            return value;
        }

        public static string userid(this claimsprincipal @this)
        {
            return @this?.claims?.firstordefault(oo => oo.type == enumuserclaim.userid.tostring())?.value;
        }

        public static string merchantid(this claimsprincipal @this)
        {
            return @this?.claims?.firstordefault(oo => oo.type == enumuserclaim.merchantid.tostring())?.value;
        }
 }

再在原来的代码基础上新增usercontroller控制器，代码如下：

[authorize]
[apicontroller]
[route("[controller]")]
public class usercontroller : controllerbase
{

    private readonly ilogger<usercontroller> _logger;

    public usercontroller(ilogger<usercontroller> logger)
    {
        _logger = logger;
    }
 }

usercontroller控制器已经创建完了，继承了controllerbase基类，我们来看看controllerbase包含了哪些信息，核心的代码如下：

/// <summary>
/// a base class for an mvc controller without view support.
/// </summary>
[controller]
public abstract class controllerbase
{
     //通过请求上下文中获得user（证件载体容器）
     public claimsprincipal user => httpcontext?.user;

    //其他核心代码没有贴出来，具体的可以看官方源代码
}

看了源代码，我们是不是可以考虑使用user来获取身份证件中的某些身份元件呢？，在usercontroller添加获取用户信息的接口，完整代码如下：

[authorize]
[apicontroller]
[route("[controller]")]
public class usercontroller : controllerbase
{

  private readonly ilogger<usercontroller> _logger;

  public usercontroller(ilogger<usercontroller> logger)
  {
      _logger = logger;
  }

  
  [httpget]
  public async task<object> get()
  {
     //通过claimsprincipal（证件容器载体）获得某些证件的身份元件
     var userid = user.userid();
     return new
     {
          name = user.name(),
          userid = userid,
          displayname = user.displayname(),
          merchantid = user.merchantid(),
     };
  }
}

好了，代码已经构建完成！！！
现在我把两个服务通过命令行启动起来.
jlion.netcore.identity.service启动如下图：

我这里还是以"" 地址启动
jlion.netcore.identity.userapiservice 启动如下图：

这里以""地址启动

现在我们通过postman 访问ids4服务器获得accesstoken 如下图：

获取access_token 成功,我再携带access_token访问 用户业务网关，如下图：

成功获取到用户身份信息 claims相关信息。

结论：ids4授权服务中构建用户身份信息(claim)通过身份容器载体claimsprincipal载入（具体载入到哪里？是怎么携带到api资源网关中的？下篇文章再来分享具体的原理和流程）；再经过受保护的api资源网关中通过claimsprincipal身份容器载体获得当前用户的相关信息后就可以做一些基于角色授权及业务相关的事情。

博客系列文章源代码地址：https://github.com/a312586670/identityserverdemo
参考文章：