一.前言

目前官方的文件和Demo以及一些相關元件全部是.net core 1.1的，應該是因為目前IdentityServer4目前最新版本只是2.0.0 rc1的原因，官方文件和Demo還沒來更新。我準備使用的是.net core 2.0 所支援的IdentityServer4 2.0.0，官方文件及Demo只能參考，因為在asp.net core 2.0及IdentityServer4 2.0版本中一些介面做了調整，有些寫法和原來不一樣。本文是根據官方QuickStart1（官方QuickStart演示專案的目前只支援.net core 1.1，QuickStart1是第一個QuickStart）寫出的demo。

第一次接觸IdentityServer4是在ABP的asp.net zero專案中，感覺IdentityServer4挺方便的，便有了系統性的學一下IdentityServer4的想法，這是我寫IdentityServer4系列文章的原因。

二.使用客戶端認證保護API

此示例介紹了使用IdentityServer保護API的最基本場景。

在這種情況下，我們將定義一個API和要訪問它的客戶端。 客戶端將在IdentityServer上請求訪問令牌，並使用它來訪問API。

三.準備

建立一個名為QuickstartIdentityServer的ASP.NET Core Web 空專案（asp.net core 2.0），埠5000
建立一個名為Api

四.定義API

在QuickstartIdentityServer專案中新增一個Config.cs檔案:

// scopes define the API resources in your system
public static IEnumerable<ApiResource> GetApiResources()
{
    return new List<ApiResource>
    {
        new ApiResource("api1", "My API")
    };
}
 

五.定義客戶端

對於這種情況，客戶端將不具有互動式使用者，並將使用IdentityServer使用所謂的客戶機密碼進行身份驗證。 將以下程式碼新增到Config.cs檔案中：

// client want to access resources (aka scopes)
public static IEnumerable<Client> GetClients()
{
    return new List<Client>
    {
        new Client
        {
            ClientId = "client",
            // 沒有互動性使用者，使用 clientid/secret 實現認證。
            AllowedGrantTypes = GrantTypes.ClientCredentials,
            // 用於認證的密碼
            ClientSecrets = 
            {
                new Secret("secret".Sha256())
            },
            // 客戶端有權訪問的範圍（Scopes）
            AllowedScopes = { "api1" }
        }
    };
}

六.配置 IdentityServer

要配置IdentityServer以使用Scope和客戶端定義，您需要向ConfigureServices方法新增程式碼。

Startup.cs

// This method gets called by the runtime. Use this method to add services to the container.
// For more information on how to configure your application, visit https://go.microsoft.com/fwlink/?LinkID=398940
public void ConfigureServices(IServiceCollection services)
{
    // 使用記憶體儲存的金鑰，客戶端和API資源來配置ids4。
    services.AddIdentityServer()
        .AddDeveloperSigningCredential()
        .AddInMemoryApiResources(Config.GetApiResources())
        .AddInMemoryClients(Config.GetClients());
}

// This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
public void Configure(IApplicationBuilder app, IHostingEnvironment env,ILoggerFactory loggerFactory)
{

    loggerFactory.AddConsole(LogLevel.Debug);
    app.UseDeveloperExceptionPage();

    app.UseIdentityServer();

}

執行此專案，開啟瀏覽器訪問http://localhost:5000/.well-known/openid-configuration你將會看到所謂的發現文件。

七.新增API

在專案Api中新增一個Controller

[Route("[controller]")]
[Authorize]
public class IdentityController : ControllerBase
{
    [HttpGet]
    public IActionResult Get()
    {
        return new JsonResult(from c in User.Claims select new { c.Type, c.Value });
    }
}

稍後將使用此控制器來測試授權，以及通過API來檢視身份資訊單元（Claim）。

配置

新增身份驗證中介軟體

• 驗證傳入令牌以確保它來自可信發行者。
• 令牌驗證是有效的，用於在這個API

在專案中新增nuget包Microsoft.AspNetCore.Authentication.JwtBearer：

這裡使用了Microsoft.AspNetCore.Authentication.JwtBearer包來替換AccessTokenValidation，因為後者還沒有更新到.net core 2.0，使用的話，是有問題的

您還需要將中介軟體新增到管道中。它必須在MVC之前新增：

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvcCore().AddJsonFormatters();
    services.AddAuthentication((options) =>
        {
            options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
            options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
        })
        .AddJwtBearer(options =>
        {
            options.TokenValidationParameters = new TokenValidationParameters();
            options.RequireHttpsMetadata = false;
            options.Audience = "api1";//api範圍
            options.Authority = "http://localhost:5000";//IdentityServer地址
        });
}

// This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    app.UseAuthentication();
    app.UseMvc();
}

八.建立客戶端

最後一個步驟是編寫一個客戶端來請求訪問令牌，然後使用這個令牌來訪問 API。為此你需要為你的解決方案新增一個控制檯應用程式。

IdentityServer 上的令牌端點實現了 OAuth 2.0 協議，你應該使用合法的 HTTP請求來訪問它。然而，我們有一個叫做 IdentityModel 的客戶端庫，它將協議互動封裝到了一個易於使用的 API 裡面。

新增 IdentityModel NuGet 程式包到你的客戶端專案中。

IdentityModel 包含了一個用於 發現端點 的客戶端庫。這樣一來你只需要知道 IdentityServer 的基礎地址，實際的端點地址可以從元資料中讀取：

// 從元資料中發現埠
var disco = await DiscoveryClient.GetAsync("http://localhost:5000");

接著你可以使用 TokenClient 來請求令牌。為了建立一個該型別的例項，你需要傳入令牌端點地址、客戶端id和密碼。

然後你可以使用 RequestClientCredentialsAsync 方法來為你的目標 API 請求一個令牌：

// 請求令牌
var tokenClient = new TokenClient(disco.TokenEndpoint, "client", "secret");
var tokenResponse = await tokenClient.RequestClientCredentialsAsync("api1");

if (tokenResponse.IsError)
{
    Console.WriteLine(tokenResponse.Error);
    return;
}

Console.WriteLine(tokenResponse.Json);

注意：從控制檯中複製和貼上訪問令牌到 jwt.io 以檢查令牌的合法性。

最後是呼叫 API。

為了傳送訪問令牌到 API，你一般要使用 HTTP 授權 header。這可以通過 SetBearerToken 擴充套件方法來實現：

// 呼叫api
var client = new HttpClient();
client.SetBearerToken(tokenResponse.AccessToken);

var response = await client.GetAsync("http://localhost:5001/identity");
if (!response.IsSuccessStatusCode)
{
    Console.WriteLine(response.StatusCode);
}
else
{
    var content = await response.Content.ReadAsStringAsync();
    Console.WriteLine(JArray.Parse(content));
}

依次啟動QuickstartIdentityServer>API>Client
最後檢視輸出結果：

注意：預設情況下訪問令牌將包含 scope 身份資訊，生命週期（nbf 和 exp），客戶端 ID（client_id） 和 發行者名稱（iss）。

進一步實踐
當前演練目前主要關注的是成功的步驟：

• 客戶端可以請求令牌
• 客戶端可以使用令牌來訪問 API

你現在可以嘗試引發一些錯誤來學習系統的相關行為，比如：

• 嘗試在 IdentityServer 未執行時（unavailable）連線它
• 嘗試使用一個非法的客戶端id或密碼來請求令牌
• 嘗試在請求令牌的過程中請求一個非法的 scope
• 嘗試在 API 未執行時(unavailable)呼叫它
• 不向 API 傳送令牌
• 配置 API 為需要不同於令牌中的 scope

九.使用Postman除錯

十.專案所用程式碼