使用Identity Server 4建立Authorization Server (1)

左手的ㄟ右手 2022-04-24 23:46 89阅读 0赞

预备知识: [http://www.cnblogs.com/cgzl/p/7746496.html][http_www.cnblogs.com_cgzl_p_7746496.html]

本文内容基本完全来自于Identity Server 4官方文档: [https://identityserver4.readthedocs.io/][https_identityserver4.readthedocs.io]

官方文档很详细的.

使用OAuth可以更安全, 这里我们的authorization server和web api 以及网站将分别独立运行.

# 建立authorization server #

建立asp.net core 项目使用空模板.

项目建立后, 运行方式改为使用控制台运行而不是IISExpress, 以便查看各种debug信息.

打开launchSettings.json:

![img_fd983f81181f9599ab33fe08ef37063d.png][]

{
      "profiles": {
        "AuthServer": {
          "commandName": "Project",
          "launchBrowser": true,
          "environmentVariables": {
            "ASPNETCORE_ENVIRONMENT": "Development"
          },
          "applicationUrl": "http://localhost:5000/"
        }
      }
    }

把IISExpress相关的内容删掉, 然后端口改为5000.

Program.cs里的BuildWebHost也应该加上Url:

public static IWebHost BuildWebHost(string[] args) =>
                WebHost.CreateDefaultBuilder(args)
                    .UseUrls("http://0.0.0.0:5000")
                    .UseStartup<Startup>()
                    .Build();

其实不加也好用.

运行就会弹出控制台:

![img_ecba5c0735f50be44773261e4691c3f2.png][]

# 安装Identity Server4: #

打开nuget, 搜索 identityserver4:

![img_4a8317d1d697324d1589b3004424a3f4.png][]

安装即可.

# 配置asp.net core 管道 #

打开startup.cs, 编辑Configure方法:

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
            {
                app.UseDeveloperExceptionPage();
                app.UseIdentityServer();
            }

就是使用上面这个中间件.

# 配置Identity Server #

还是Startup.cs,编辑ConfigureServices方法:

这里不仅要把IdentityServer注册到容器中, 还要至少对其配置三点内容:

1. 哪些API可以使用这个authorization server.

2. 那些客户端Client(应用)可以使用这个authorization server.

3. 指定可以使用authorization server授权的用户.

首先需要把上面这些做成一个配置文件:

建立Configuration/InMemoryConfiguration.cs:

namespace AuthServer.Configuration
    {
        public class InMemoryConfiguration
        {
            public static IEnumerable<ApiResource> ApiResources()
            {
                return new[]
                {
                    new ApiResource("socialnetwork", "社交网络")
                };
            }
    
            public static IEnumerable<Client> Clients()
            {
                return new[]
                {
                    new Client
                    {
                        ClientId = "socialnetwork",
                        ClientSecrets = new [] { new Secret("secret".Sha256()) },
                        AllowedGrantTypes = GrantTypes.ResourceOwnerPasswordAndClientCredentials,
                        AllowedScopes = new [] { "socialnetwork" }
                    }
                };
            }
    
            public static IEnumerable<TestUser> Users()
            {
                return new[]
                {
                    new TestUser
                    {
                        SubjectId = "1",
                        Username = "mail@qq.com",
                        Password = "password"
                    }
                };
            }
        }
    }

ApiResources: 这里指定了name和display name, 以后api使用authorization server的时候, 这个name一定要一致, 否则就不好用的.

Clients: Client的属性太多了, 这里就指定几个. 其中ClientSecrets是Client用来获取token用的. AllowedGrantType: 这里使用的是通过用户名密码和ClientCredentials来换取token的方式. ClientCredentials允许Client只使用ClientSecrets来获取token. 这比较适合那种没有用户参与的api动作. AllowedScopes: 这里只用socialnetwork

Users: 这里的内存用户的类型是TestUser, 只适合学习和测试使用, 实际生产环境中还是需要使用数据库来存储用户信息的, 例如接下来会使用asp.net core identity. TestUser的SubjectId是唯一标识.

然后回到StartUp的ConfigureServices:

前一篇文章讲过, 我们需要对token进行签名, 这意味着identity server需要一对public和private key. 幸运的是, 我们可以告诉identity server在程序的运行时候对这项工作进行设定: AddDeveloperSigningCredential(), 它默认会存到硬盘上的, 所以每次重启服务不会破坏开发时的数据同步. 这个方法只适合用于identity server4在单个机器运行, 如果是production farm你得使用**AddSigningCredential()**这个方法.

public void ConfigureServices(IServiceCollection services)
            {
                services.AddIdentityServer()
                    .AddDeveloperSigningCredential()
                    .AddTestUsers(InMemoryConfiguration.Users().ToList())
                    .AddInMemoryClients(InMemoryConfiguration.Clients())
                    .AddInMemoryApiResources(InMemoryConfiguration.ApiResources());
            }

然后运行一下:

![img_8131bf4dc5848bd2406a39495f11476d.png][]

没报错, 红线部分是内存配置版的一些解释.

# 获取Token #

打开postman, 如果你无法安装postman, 也无法进入Chrome商店, 那么你可以买一个海外服务器, 使用shadowsocks服务器和客户端进行代理, 然后就可以访问google了.

![img_5409db138879f1a5e11c4015386f6c0d.png][]

首先我们发送一个错误的client\_id, 然后得到的结果是: invalid\_client. 控制台的信息如下:

![img_8d0a00e3a9fe337f04b7c56a05c4e7c1.png][]

然后我们再发送一个正确的数据:

![img_665f8a71f805bb3796f1a11344bbeca1.png][]

这次获取到了token. 控制台信息如下:

![img_39dfe760b9c0c026d8fb43e8f0f7e588.png][]

由于identity server我们设置的是 ResourceOwnerPasswordAndClientCredentials 这个GrantType, 所以使用用户名密码以及使用ClientCredentials都可以. 那我们把用户名和密码去掉, 只发送Client Credentials:

![img_0367576880031cecc33d4fac2b65f87b.png][]

仍然获取到了token. 控制台上的信息与上一个稍有不同, 没有user相关的信息了:

![img_0093f8718578bf8c6b1c528294413b30.png][]

# 使用正经的证书: #

证书可以通过几种渠道获得, 可以购买, 可以使用IIS生成, 也可以使用Openssl这样的工具生成证书. 我就使用openssl吧.

去openssl的windows官网: [https://slproweb.com/products/Win32OpenSSL.html][https_slproweb.com_products_Win32OpenSSL.html]

下载 1.1.0版: [https://slproweb.com/download/Win64OpenSSL-1\_1\_0f.exe][https_slproweb.com_download_Win64OpenSSL-1_1_0f.exe]

安装后, 打开命令行.

openssl req -newkey rsa:2048 -nodes -keyout socialnetwork.key -x509 -days 365 -out socialnetwork.cer

具体的信息就不管了. 这个证书的有效期是365天, 命令参数里面设定的.

这是生成的文件:

![img_0287a9b69b51545f4ae9ca89727122ba.png][]

一个证书和一个key, 然后我们需要给他们俩封装成一个文件, 以便identity server可以使用它们去正确的签名tokens. 这就需要使用另一个命令:

openssl pkcs12 -export -in socialnetwork.cer -inkey socialnetwork.key -out socialnetwork.pfx

![img_1bd608f1fe4163f3b18c06bee6aa514b.png][]

这里发生了错误...那就使用管理员打开命令行:

![img_3cfa540626fb2d26d15448017c53dff9.png][]

输入密码和确认密码后, 没问题了.

![img_90c858f4e1c49ed21b0a44a5841dd15d.png][]

pfx就是我们需要的文件.

然后修改一个Startup的ConfigureServices:

public void ConfigureServices(IServiceCollection services)
            {
                services.AddIdentityServer()
                    // .AddDeveloperSigningCredential()
                    .AddSigningCredential(new X509Certificate2(@"D:\Projects\test\socialnetwork.pfx", "password"))
                    .AddTestUsers(InMemoryConfiguration.Users().ToList())
                    .AddInMemoryClients(InMemoryConfiguration.Clients())
                    .AddInMemoryApiResources(InMemoryConfiguration.ApiResources());
            }

现在运行程序的话, 啥也不显示. 那么接下来, 就

# 添加像样的UI #

Identity Server 4 提供了一套QuickStart UI : [https://github.com/IdentityServer/IdentityServer4.Quickstart.UI/tree/release][https_github.com_IdentityServer_IdentityServer4.Quickstart.UI_tree_release]

在项目根目录打开Powershell(可以在项目根目录, 按住shift, 点击右键的Powershell)

![img_f8715bf879b7bbceafd4db5cb9dad0f2.jpeg][]

然后输入命令:

iex ((New-Object System.Net.WebClient).DownloadString('https://raw.githubusercontent.com/IdentityServer/IdentityServer4.Quickstart.UI/release/get.ps1'))

然后就把UI下载到项目了.

看看生成的文件, 很多:

![img_bc9b3074d3b11ac5821728e25a135707.png][]

由于有wwwroot下很多静态文件, 所以asp.net core 需要启用服务静态文件的功能: 修改Startup的Configure方法:

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
            {
                app.UseDeveloperExceptionPage();
                app.UseIdentityServer();
                app.UseStaticFiles();
                app.UseMvcWithDefaultRoute();
            }

使用静态文件, 并且使用了MVC.

别忘了在ConfigureServices里面注册MVC:

public void ConfigureServices(IServiceCollection services)
            {
                services.AddIdentityServer()
                    // .AddDeveloperSigningCredential()
                    .AddSigningCredential(new X509Certificate2(@"D:\Projects\test\socialnetwork.pfx", "Bx@steel"))
                    .AddTestUsers(InMemoryConfiguration.Users().ToList())
                    .AddInMemoryClients(InMemoryConfiguration.Clients())
                    .AddInMemoryApiResources(InMemoryConfiguration.ApiResources());
    
                services.AddMvc();
            }

然后运行一下试试:

![img_be39ab69637ed8e20d31c4b4dba3582f.png][]

![img_bd9edfba081a4dfd87fca2bf8fde3973.png][]

![img_87219933f222a3a3bd04a9425f221565.png][]

它现在已经具备了这些功能!

使用TestUser也可以登陆成功:

![img_a1ee3fa5b9a52a80af1345ead3b77977.png][]

当然这个UI可以根据情况自行定义.

下面是我的关于ASP.NET Core Web API相关技术的公众号--草根专栏:

![img_9296d838b678fb5b53643214fef0c541.jpeg][]

[http_www.cnblogs.com_cgzl_p_7746496.html]: http://www.cnblogs.com/cgzl/p/7746496.html
[https_identityserver4.readthedocs.io]: https://identityserver4.readthedocs.io/
[img_fd983f81181f9599ab33fe08ef37063d.png]: /images/20220210/472f7bdfa09a46e78673da019b9f31e2.png
[img_ecba5c0735f50be44773261e4691c3f2.png]: /images/20220210/35961dc986de4cd8a7e56a7999d6352e.png
[img_4a8317d1d697324d1589b3004424a3f4.png]: /images/20220210/8f30e8717b8146bc9cb9278e348fae59.png
[img_8131bf4dc5848bd2406a39495f11476d.png]: /images/20220210/9fd021df2261489cb6a1a2b78ebf3ff3.png
[img_5409db138879f1a5e11c4015386f6c0d.png]: /images/20220210/ba0b0720200545e5a209c00dceae3ed7.png
[img_8d0a00e3a9fe337f04b7c56a05c4e7c1.png]: /images/20220210/fc389a82743c41b48af7ebf57032f2f5.png
[img_665f8a71f805bb3796f1a11344bbeca1.png]: /images/20220210/08c31823e6b54a419e56afb1733e9b5d.png
[img_39dfe760b9c0c026d8fb43e8f0f7e588.png]: /images/20220210/71d99e88a0bf4aeaad5a80a58e313988.png
[img_0367576880031cecc33d4fac2b65f87b.png]: /images/20220210/c5091a672fbd4825b1c31e77d2e605c6.png
[img_0093f8718578bf8c6b1c528294413b30.png]: /images/20220210/acb6128e904342249b5d2eea3c0ebc2c.png
[https_slproweb.com_products_Win32OpenSSL.html]: https://slproweb.com/products/Win32OpenSSL.html
[https_slproweb.com_download_Win64OpenSSL-1_1_0f.exe]: https://slproweb.com/download/Win64OpenSSL-1_1_0f.exe
[img_0287a9b69b51545f4ae9ca89727122ba.png]: /images/20220210/2b80661086574fc4a13ed2ed19ce81e1.png
[img_1bd608f1fe4163f3b18c06bee6aa514b.png]: /images/20220210/8239479d75964f2b981fc04e2d8d0db4.png
[img_3cfa540626fb2d26d15448017c53dff9.png]: /images/20220210/b82c38f49c0943f782ee9e576179ae37.png
[img_90c858f4e1c49ed21b0a44a5841dd15d.png]: /images/20220210/c1c3bf9493e1478cacbbf5d4853fcdf7.png
[https_github.com_IdentityServer_IdentityServer4.Quickstart.UI_tree_release]: https://github.com/IdentityServer/IdentityServer4.Quickstart.UI/tree/release
[img_f8715bf879b7bbceafd4db5cb9dad0f2.jpeg]: /images/20220210/17f001401af0424eae579a9b0df9c059.png
[img_bc9b3074d3b11ac5821728e25a135707.png]: /images/20220210/e93f092e2b6a4a3e8862e316b583afcf.png
[img_be39ab69637ed8e20d31c4b4dba3582f.png]: /images/20220210/6d3534aa0d954a289a9b42b48978ce2a.png
[img_bd9edfba081a4dfd87fca2bf8fde3973.png]: /images/20220210/252fa1373c424aac804f78d831f9def3.png
[img_87219933f222a3a3bd04a9425f221565.png]: /images/20220210/e05484e0e5da4e2a838904ee663a2985.png
[img_a1ee3fa5b9a52a80af1345ead3b77977.png]: /images/20220210/68f1e0f0d9fe40c09e181a2d982dc78d.png
[img_9296d838b678fb5b53643214fef0c541.jpeg]: /images/20220210/5daaecef7971466283e3b0560008a549.png