OiDc可以说是OAuth的改造版,在最初的OAuth中,我们需要先请求一下认证服务器获取下Access_token,然后根据Access_token去Get资源服务器, 况且OAuth1 和 2 完全不兼容,易用性差,而OIDC可以在登陆的时候就把信息返回给你,不需要你在请求一下资源服务器。下面我们根据Oidc来做一个单点登录。
新建三个项目(.NET Core Mvc)两个Client(端口5001,5002),一个Server(5000),首先在Server中添加IdentityServer4的引用。
在Server中Config.cs用于模拟配置。
public class Config { public static IEnumerableGetApiResource() { return new List { new ApiResource("api","My Api App") }; } public static IEnumerable GetClients() { return new List { new Client() { ClientId = "mvc", AllowedGrantTypes = GrantTypes.Implicit, ClientSecrets ={ new Secret("secret".Sha256()) }, RequireConsent = false, RedirectUris = {"http://localhost:5001/signin-oidc", "http://localhost:5002/signin-oidc" } , PostLogoutRedirectUris = {"http://localhost:5001/signout-callback-oidc" , "http://localhost:5002/signout-callback-oidc" }, AllowedScopes = { IdentityServerConstants.StandardScopes.Profile, IdentityServerConstants.StandardScopes.OpenId } } }; } public static List GetTestUsers() { return new List { new TestUser() { SubjectId = "10000", Username = "zara", Password = "112233" } }; } public static IEnumerable GetIdentityResources() { return new List { new IdentityResources.OpenId(), new IdentityResources.Profile(), new IdentityResources.Email() }; } }
GetClient方法中字段为RedirectUris是登陆成功返回的地址,并且我们采用隐式模式(因为只是传统web中传递Access_Token),RequireConsent是否出现同意授权页面,这个我们后续再细说.写完Config.cs后,我们需要依赖注入到IdentityServer中。
public void ConfigureServices(IServiceCollection services) { services.Configure(options => { // This lambda determines whether user consent for non-essential cookies is needed for a given request. options.CheckConsentNeeded = context => true; options.MinimumSameSitePolicy = SameSiteMode.None; });
//config to identityServer Services services.AddIdentityServer() .AddDeveloperSigningCredential() .AddInMemoryClients(Config.GetClients()) .AddTestUsers(Config.GetTestUsers()) .AddInMemoryIdentityResources(Config.GetIdentityResources()) .AddInMemoryApiResources(Config.GetApiResource()); services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_1); }
在Configure中添加代码 app.UseIdentityServer(); .我们还需要添加一个登陆页面,名为Account.cshtml.
@{ ViewData["Title"] = "Index"; }Index
@using mvcWebFirstSolucation.Models; @model LoginVM;class="row">@section Scripts { @await Html.PartialAsync("_ValidationScriptsPartial") }class="col-md-4">
在控制器中我们写一个构造函数,用于将IdentityServer.Text给我们封装好的对象传过来,这个对象是我们在Config.cs中添加的用户信息,也就是GetClients的返回值,全都在 TestUserStore 中。其中还有一个提供好的方法,来给我们用,如果验证通过我们直接跳转到了传递过来的ReturnUrl.
public class AccountController : Controller { private readonly TestUserStore _users; public AccountController(TestUserStore ussotre) { _users = ussotre; } [HttpGet] [Route("/Account/Login")] public IActionResult Index(string ReturnUrl = null) { ViewData["returnUrl"] = ReturnUrl; return View(); } private IActionResult RediretToLocal(string returnUrl) { if (Url.IsLocalUrl(returnUrl)) { return Redirect(returnUrl); } return RedirectToAction(nameof(HomeController.Index),"Home"); } [HttpPost] public async TaskLogin(LoginVM vm,string returnUrl = null) { if (ModelState.IsValid) { ViewData["returnUrl"] = returnUrl; var user = _users.FindByUsername(vm.UserName); if (user==null) { ModelState.AddModelError(nameof(LoginVM.UserName), "userName is exists"); } else { if(_users.ValidateCredentials(vm.UserName, vm.PassWord)) { var props = new AuthenticationProperties { IsPersistent = true, ExpiresUtc = DateTimeOffset.UtcNow.Add(TimeSpan.FromMinutes(30)) }; await Microsoft.AspNetCore.Http .AuthenticationManagerExtensions .SignInAsync( HttpContext, user.SubjectId, user.Username, props ); return RediretToLocal(returnUrl); } ModelState.AddModelError(nameof(LoginVM.PassWord), "Wrong Password"); } } return View(); } }
这个时候最基本的服务端已经配置成功了,我们开始配置受保护的客户端吧。
在客户端中我们不需要引入IdentityServer,因为我们只是去请求服务端然后看看cookies有没有在而已,所以我们只需要给受保护的客户端的Api做好安全判断就好.
在受保护的控制器中添加 [Authorize] 标识。然后再Startup.cs中添加安全验证。并且在Configure中use下 app.UseAuthentication();
public void ConfigureServices(IServiceCollection services) { services.AddAuthentication(options => { options.DefaultScheme = "Cookies"; options.DefaultChallengeScheme = "oidc"; }).AddCookie("Cookies").AddOpenIdConnect("oidc", options => { options.SignInScheme = "Cookies"; options.Authority = "http://localhost:5000"; options.RequireHttpsMetadata = false; options.ClientId = "mvc"; options.ClientSecret = "secret"; options.SaveTokens = true; }); services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_1); }
在首页中最好遍历下Claims对象,这个是通过OIDC直接给我们返回回来的.(最后另一个客户端也这么干!)
@foreach (var claim in User.Claims) {}
- @claim.Type
- @claim.Value
现在我们启动项目看一下效果吧。