使用 IdentityServer4 从单个客户端接受承载身份验证和 OpenIdConnect

Question

在对IdentityServer4 Quickstart 示例解决方案（特别是 8_AspNetIdentity 示例）进行一些调整后，我遇到了一些问题。我会先说我不确定我正在尝试做的事情是否不受支持，或者我做错了。此示例解决方案包含与我的问题相关的以下项目：一个身份服务器，一个使用 OpenIdConnect 对其用户进行身份验证的 MVC 客户端（名为 MVCClient），对其用户使用不记名身份验证的 Web API 客户端（名为 API）设计为 API 客户端的控制台应用程序（名为 ResourceOwnerClient）我正在尝试做的是将 API 项目合并到 MVCClient 中，以便 MVCClient 既可以使用 OIDC 对来自其 MVC 网站的用户进行身份验证，也可以使用承载身份验证对 ResourceOwnerClient 进行身份验证。我对 MVCClient 的 Startup.cs 进行了以下更改：改为services.AddMvc();：services.AddMvc(config =>{    var policy = new AuthorizationPolicyBuilder(new[]        {            JwtBearerDefaults.AuthenticationScheme,            CookieAuthenticationDefaults.AuthenticationScheme,            "oidc"        })        .RequireAuthenticatedUser()        .Build();    config.Filters.Add(new AuthorizeFilter(policy));});将 JWT 不记名选项添加到services.AddAuthentication()：.AddJwtBearer(JwtBearerDefaults.AuthenticationScheme, options =>{    options.Authority = "http://localhost:5000";    options.RequireHttpsMetadata = false;    options.Audience = "api1";})现在从技术上讲，这确实有效，因为 ResourceOwnerClient 和 MVC 用户都可以成功地通过 MVCClient 进行身份验证。然而，我有一个警告：当我从 MVC 端对用户进行身份验证时，我注意到我当前的用户中有两个身份。两者在声明等方面都是相同的。这只发生在我在 MVCClient 中设置断点时，在 IdentityServer 上只有一个身份。在 IdentityServer 上，我注册了一个 UserClaimsPrincipalFactory，它将我自己的自定义声明添加到 ClaimsIdentity。在 IdentityServer 上的两个身份中，我可以看到重复的声明。因此，我看到的不是一个身份和两个自定义声明，而是两个身份，每个身份都有 4 个自定义声明。我的 UserClaimsPrincipalFactory 中的 CreateAsync 方法也被单次登录击中 5 次。虽然这种行为很奇怪，但它似乎没有任何负面影响。但这只是我正在构建的更大应用程序的概念证明，我担心我将来可能会因此遇到问题。如果有人以前尝试过这种事情，或者知道为什么会发生这种行为，我们将不胜感激。

Answer 1

虽然这种设计不会发生任何不好的事情，但我会完全改造它。为什么？因为您正在混合 aClient和 an ApiResource，它们应该在逻辑上分开。AClient是一个应用程序，一些用户与之交互的东西，即使它是一个无头的应用程序（即自动化服务）；而 anApiResource由提供给 Clients 的资源组成，因此没有用户可以直接与其交互。

您可以针对 IdentityServer 添加两种身份验证，一种作为 API（并将其添加为JwtBearer），另一种作为客户端（并将其添加为Cookies）。然后，您可以根据该动作/控制器的功能使用[Authorize(AuthenticationSchemes = "JwtBearer")]和。= "Cookies"

撇开这一点不谈，问题是您的应用程序正在为 MVC 端获取一个身份，而为 API 端获取一个身份，因为它无法告诉您想要哪个身份。

只要你有一个想法，这就是我的一个带有 ASP.NET Core Identtiy 的 IdentityServer 的样子，你可以使用 UI 登录它，还可以使用 JwtToken 访问 REST 端点：

services

    .AddAuthentication(options =>

    {

        options.DefaultAuthenticateScheme = IdentityConstants.ApplicationScheme;

        options.DefaultChallengeScheme = IdentityConstants.ApplicationScheme;

        options.DefaultSignInScheme = IdentityConstants.ExternalScheme;

    })

    .AddIdentityServerAuthentication(JwtBearerDefaults.AuthenticationScheme, options =>

    {

        options.Authority = Configuration["IdentityServerUrl"];

        options.ApiName = Configuration["ApiName"];

        options.RequireHttpsMetadata = false;

    })

    .AddCookie(IdentityConstants.ApplicationScheme, o =>

    {

        o.LoginPath = new PathString("/Account/Login");

        o.Events = new CookieAuthenticationEvents()

        {

            OnValidatePrincipal = SecurityStampValidator.ValidatePrincipalAsync

        };

    })

    .AddCookie(IdentityConstants.ExternalScheme, o =>

    {

        o.Cookie.Name = IdentityConstants.ExternalScheme;

        o.ExpireTimeSpan = TimeSpan.FromMinutes(5.0);

    })

    .AddCookie(IdentityConstants.TwoFactorRememberMeScheme, o =>

    {

        o.Cookie.Name = IdentityConstants.TwoFactorRememberMeScheme;

    })

    .AddCookie(IdentityConstants.TwoFactorUserIdScheme, o =>

    {

        o.Cookie.Name = IdentityConstants.TwoFactorUserIdScheme;

        o.ExpireTimeSpan = TimeSpan.FromMinutes(5.0);

    });