ASP.NET Core的身份认证框架IdentityServer4（8）- 使用密码认证方式控制API访问

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

一.前言

本文已经更新到 .NET Core 2.2

OAuth 2.0 资源所有者密码模式允许客户端向令牌服务发送用户名和密码，并获取代表该用户的访问令牌。

除了通过无法浏览器进行交互的应用程序之外，通常建议不要使用资源所有者密码模式。一般来说，当您要对用户进行身份验证并请求访问令牌时，使用其中一个交互式 OpenID Connect 流程通常要好得多。

在这里使用这种模式是为了学习如何快速在 IdentityServer 中使用它，

二.添加用户

就像API资源（也称为 Scope）、客户端一样，用户也有一个基于内存存储（In-Memory）的实现。

有关如何正确存储（持久化存储）和管理用户帐户的详细信息，请查看基于 ASP.NET Identity的快速入门。

TestUser 类代表测试用户及其身份信息单元（Claim）。让我们通过在 config 类中添加以下代码来创建几个用户：

首先添加以下语句到Config.cs文件中：

using IdentityServer4.Test;public static List<TestUser> GetUsers() { return new List<TestUser> { new TestUser { SubjectId = "1", Username = "alice", Password = "password" }, new TestUser { SubjectId = "2", Username = "bob", Password = "password" } }; }

然后将测试用户注册到 IdentityServer：

public void ConfigureServices(IServiceCollection services) { // configure identity server with in-memory stores, keys, clients and scopes services.AddIdentityServer() .AddInMemoryApiResources(Config.GetApiResources()) .AddInMemoryClients(Config.GetClients()) .AddTestUsers(Config.GetUsers()); }

AddTestUsers 方法帮我们做了以下几件事：

为资源所有者密码授权添加支持
添加对用户相关服务的支持，这服务通常为登录 UI 所使用（我们将在下一个快速入门中用到登录 UI）
为基于测试用户的身份信息服务添加支持（你将在下一个快速入门中学习更多与之相关的东西）

四.为资源所有者密码授权添加一个客户端定义

你可以通过修改 ·AllowedGrantTypes· 属性简单地添加对已有客户端授权类型的支持。

通常你会想要为资源所有者用例创建独立的客户端，添加以下代码到你配置中的客户端定义中：

public static IEnumerable<Client> GetClients() { return new List<Client> { // other clients omitted... // resource owner password grant client new Client { ClientId = "ro.client", AllowedGrantTypes = GrantTypes.ResourceOwnerPassword, ClientSecrets = { new Secret("secret".Sha256()) }, AllowedScopes = { "api1" } } }; }

使用密码授权请求一个令牌

创建一个 ResourceOwnerPassword 控制台项目，通过Nuget添加 IdentityModel 包

通过如下代码获取Token

// request token var tokenResponse = await client.RequestPasswordTokenAsync(new PasswordTokenRequest { Address = disco.TokenEndpoint, ClientId = "ro.client", ClientSecret = "secret", UserName = "alice", Password = "password", Scope = "api1" });if (tokenResponse.IsError) { Console.WriteLine(tokenResponse.Error); return; }Console.WriteLine(tokenResponse.Json);

当您将令牌发送到身份API终结点时，您会注意到与客户端模式相比有一个小但重要的区别。访问令牌现在将包含唯一标识用户的sub claim。通过在调用API之后检查内容变量可以看到这个“sub”，并且控制器应用程序也会在屏幕上显示该claim。

sub claim的存在（或不存在）允许API区分代表客户端的调用和代表用户的调用。

下面这张图，是理解的客户端请求流程，