您现在的位置是：网站首页> 编程资料编程资料
IdentityServer4 QuckStart 授权与自定义Claims的问题_实用技巧_
2023-05-24
417人已围观
简介 IdentityServer4 QuckStart 授权与自定义Claims的问题_实用技巧_
最近在折腾IdentityServer4，为了简单，直接使用了官方给的QuickStart示例项目作为基础进行搭建。有一说一，为了保护一个API，感觉花费的时间比写一个API还要多。
本文基于ASP.NET CORE 3.1, IdentityServer4 3.1.3。代码皆为关键代码，贴全了太多了。
好不容易跑起来了，最终的任务要落实到授权的工作上来。在API中使用Authorize用来限制用户的访问。
[Route("api/[controller]")] [Authorize(Roles = "Administrator")] [ApiController] public class UserInfoController : ControllerBase { /// /// 无参GET请求 /// /// >), Status200OK)] public async Task Get() { var info = new Info(); return Ok(new ReturnData>(await info.Get())); } 然而在使用的时候，虽然正确取得授权，但是却无法正常访问API，一直提示401没有授权错误。仔细检查，发现IdentityServer4返回的内容并没有返回role的JwtClaimTypes，没有它，Authorize无法正常工作。
{ "nbf": 1587301921, "exp": 1587305521, "iss": "http://localhost:5000", "aud": "MonitoringSystemApi", "client_id": "webClient", "sub": "c6c18d4d-c28e-4de5-86dd-779121216204", "auth_time": 1587301921, "idp": "local", "scope": [ "roles", "MonitoringSystemApi", "offline_access" ], "amr": [ "pwd" ] }实现
查看Config.cs，IdentityServer4默认只返回两种IdentityResource：openid和profile。按照官方的说法，这个东西定义的内容会返回到用户的token。参考。那么就果断给它安排。
public static IEnumerableIds => new List { new IdentityResources.OpenId(), new IdentityResources.Profile(), new IdentityResource ("roles", new List { JwtClaimTypes.Role }){ Required = true} }; public static IEnumerable Clients => new List { new Client { ClientId = "webClient", ClientSecrets = { new Secret("secret".Sha256()) }, AllowOfflineAccess = true, AllowedGrantTypes = GrantTypes.ResourceOwnerPassword, // scopes that client has access to AllowedScopes = { "roles", "MonitoringSystemApi" } },
执行之前，需要确保数据库中的用户数据，已经包含role的Claim。
//添加用户代码 bob = new ApplicationUser { UserName = "bob" }; var result = userMgr.CreateAsync(bob, "Pass123$").Result; if (!result.Succeeded) { throw new Exception(result.Errors.First().Description); } result = userMgr.AddClaimsAsync(bob, new Claim[]{ new Claim(JwtClaimTypes.Role, "Administrator"), new Claim(JwtClaimTypes.Name, "Bob Smith"),运行程序，返回值依旧没有任何变化，很挫败，只能继续折腾。
有研究通过实现IProfileService达到自定义Cliams。文章写的很详细，我这就不重复了，我实际试验过，可以成功。
但是文章末尾的注意，很重要。
“那么, 通过profileservice颁发的claims, 任意clients都能拿到”
说明这个优先级是非常高的，可以覆盖所有的行为，当然我们可以在IProfileService的实现上对权限进行进一步的设置，不过还是挺麻烦的。参考实现，参考官方
作为懒人，必然不想再费劲去折腾权限的问题，那么是否有简单点的办法呢？
网上有一些问答说到了可以通过设置Scopes来达到目的。不过过于久远，IdentityServer4已经没有这个独立的类了，说是已经被ApiResource取代了。
直觉上这个东西应该是指示要保护的API的相关内容的，好像和这个没啥关系，不过也只能死马当活马医了。修改config.cs，最终如下内容：
public static IEnumerableApis => new List { new ApiResource("pls", new[]{ "role"}), }; public static IEnumerable Clients => new List { new Client { ClientId = "webClient", ClientSecrets = { new Secret("secret".Sha256()) }, AllowOfflineAccess = true, AllowedGrantTypes = GrantTypes.ResourceOwnerPassword, // scopes that client has access to AllowedScopes = { "pls" } },
返回结果如下：
{ "nbf": 1587301799, "exp": 1587305399, "iss": "http://localhost:5000", "aud": "pls", "client_id": "webClient", "sub": "c6c18d4d-c28e-4de5-86dd-779121216204", "auth_time": 1587301799, "idp": "local", "role": "Administrator", "scope": [ "pls", "offline_access" ], "amr": [ "pwd" ] }终于看见心心念念的自定义Claim（role），可以去访问API了。
注意，在Client中也有个Claims，添加了role并且设置AlwaysSendClientClaims和AlwaysIncludeUserClaimsInIdToken之后，会在token中添加client_roie字段，这个是没办法用与授权的，可以理解为IdentityServer4直接指定了Client角色，并不是Identity中的角色概念。
后记
回过头来仔细看官方的文档，ApiResource中的UserClaims就是用来干这个的，折腾了半天，不如当时仔细看看文档了。
到此这篇关于IdentityServer4 QuckStart 授权与自定义Claims的文章就介绍到这了,更多相关IdentityServer4 QuckStart Claims内容请搜索以前的文章或继续浏览下面的相关文章希望大家以后多多支持！
相关内容
- ASP.NET Core中的Action的返回值类型实现_实用技巧_
- 详解ASP.NET Core中配置监听URLs的五种方式_实用技巧_
- ASP.NET Core 应用程序中的静态文件中间件的实现_实用技巧_
- ASP.net中Core自定义View查找位置的实例代码_实用技巧_
- 详解在.net core中完美解决多租户分库分表的问题_实用技巧_
- ASP.NET Core中的Controller使用示例_实用技巧_
- ASP.NET Core单文件和多文件上传并保存到服务端的方法_实用技巧_
- ASP .NET Core API发布与部署以及遇到的坑和解决方法_实用技巧_
- c# rabbitmq 简单收发消息的示例代码_实用技巧_
- 在IIS上部署ASP.NET Core Web API的方法步骤_实用技巧_
