ASP.NET Core3.1使用IdentityServer4中间件系列随笔（五）：创建使用[Code-授权码]授权模式的客户端

配套源码：https://gitee.com/jardeng/IdentitySolution

本篇将创建使用[Code-授权码]授权模式的客户端，来对受保护的API资源进行访问。

1、接上一篇项目，因为之前创建IdentityServer认证服务器没有使用IdentityServer4提供的模板，在Code授权码模式就没有进行登录、授权的界面，所以重新创建一下IdentityServer项目。

重新使用IdentityServer4模板 - is4inmem创建项目。

将之前IdentityServer认证服务器Config.cs复制到新建的IdentityServer服务器即可，最后的IdentityServer认证服务器项目结构为：

然后在IdentityServer项目Config.cs中添加一个返回身份资源的方法

然后在IdentityServer项目Config.cs中添加一个客户端

注意：localhost:6001指的是我们将要创建的MVC客户端的项目地址，并非IdentityServer认证服务器的地址

/// 授权码模式（Code）
///     适用于保密客户端（Confidential Client），比如ASP.NET MVC等服务器端渲染的Web应用
new Client
{
    ClientId = "mvc client",
    ClientName = "ASP.NET Core MVC Client",

    AllowedGrantTypes = GrantTypes.Code,
    ClientSecrets = { new Secret("mvc secret".Sha256()) },

    RedirectUris = { "http://localhost:6001/signin-oidc" },
    FrontChannelLogoutUri = "http://localhost:6001/signout-oidc",
    PostLogoutRedirectUris = { "http://localhost:6001/signout-callback-oidc" },

    AlwaysIncludeUserClaimsInIdToken = true,
    AllowOfflineAccess = true,
    AllowedScopes =
    {
        "api1",
        IdentityServerConstants.StandardScopes.OpenId,
        IdentityServerConstants.StandardScopes.Profile,
        IdentityServerConstants.StandardScopes.Email,
        IdentityServerConstants.StandardScopes.Address,
        IdentityServerConstants.StandardScopes.Phone
    }
}

其中，RedirectUris的signin-oidc / FrontChannelLogoutUri的signout-oidc / PostLogoutRedirectUris的signout-callback-oidc，都是固定的地址写法。

完整的Config.cs代码：

using IdentityModel;
using IdentityServer4;
using IdentityServer4.Models;
using IdentityServer4.Test;
using System.Collections.Generic;
using System.Security.Claims;

namespace IdentityServer
{
    /// <summary>
    /// IdentityServer资源和客户端配置文件
    /// </summary>
    public static class Config
    {
        /// <summary>
        /// 身份资源集合
        /// </summary>
        public static IEnumerable<IdentityResource> Ids =>
            new IdentityResource[]
            {
                new IdentityResources.OpenId(),
                new IdentityResources.Profile(),
                new IdentityResources.Email(),
                new IdentityResources.Address(),
                new IdentityResources.Phone()
            };

        /// <summary>
        /// API资源集合
        ///     如果您将在生产环境中使用此功能，那么给您的API取一个逻辑名称就很重要。
        ///     开发人员将使用它通过身份服务器连接到您的api。
        ///     它应该以简单的方式向开发人员和用户描述您的api。
        /// </summary>
        public static IEnumerable<ApiResource> Apis => new List<ApiResource> { new ApiResource("api1", "My API") };

        /// <summary>
        /// 客户端集合
        /// </summary>
        public static IEnumerable<Client> Clients =>
            new Client[]
            {
                /// 客户端模式（Client Credentials）
                ///     可以将ClientId和ClientSecret视为应用程序本身的登录名和密码。
                ///     它将您的应用程序标识到身份服务器，以便它知道哪个应用程序正在尝试与其连接。
                new Client
                { 
                    //客户端标识
                    ClientId = "client",
                    //没有交互用户，使用clientid/secret进行身份验证，适用于和用户无关，机器与机器之间直接交互访问资源的场景。
                    AllowedGrantTypes = GrantTypes.ClientCredentials,
                    //认证密钥
                    ClientSecrets = { new Secret("secret".Sha256()) },
                    //客户端有权访问的作用域
                    AllowedScopes = { "api1" }
                },
                /// 资源所有者密码凭证（ResourceOwnerPassword）
                ///     Resource Owner其实就是User，所以可以直译为用户名密码模式。
                ///     密码模式相较于客户端凭证模式，多了一个参与者，就是User。
                ///     通过User的用户名和密码向Identity Server申请访问令牌。
                new Client
                {
                    ClientId = "client1",
                    AllowedGrantTypes = GrantTypes.ResourceOwnerPassword,
                    ClientSecrets = { new Secret("secret".Sha256()) },
                    AllowedScopes = { "api1" }
                },           
                /// 授权码模式（Code）
                ///     适用于保密客户端（Confidential Client），比如ASP.NET MVC等服务器端渲染的Web应用
                new Client
                {
                    ClientId = "mvc client",
                    ClientName = "ASP.NET Core MVC Client",

                    AllowedGrantTypes = GrantTypes.Code,
                    ClientSecrets = { new Secret("mvc secret".Sha256()) },

                    RedirectUris = { "http://localhost:6001/signin-oidc" },
                    FrontChannelLogoutUri = "http://localhost:6001/signout-oidc",
                    PostLogoutRedirectUris = { "http://localhost:6001/signout-callback-oidc" },

                    AlwaysIncludeUserClaimsInIdToken = true,
                    AllowOfflineAccess = true,
                    AllowedScopes =
                    {
                        "api1",
                        IdentityServerConstants.StandardScopes.OpenId,
                        IdentityServerConstants.StandardScopes.Profile,
                        IdentityServerConstants.StandardScopes.Email,
                        IdentityServerConstants.StandardScopes.Address,
                        IdentityServerConstants.StandardScopes.Phone
                    }
                }
            };

        /// <summary>
        /// 用户集合
        /// </summary>
        public static List<TestUser> Users =>
            new List<TestUser>
            {
                new TestUser{SubjectId = "818727", Username = "alice", Password = "alice",
                    Claims =
                    {
                        new Claim(JwtClaimTypes.Name, "Alice Smith"),
                        new Claim(JwtClaimTypes.GivenName, "Alice"),
                        new Claim(JwtClaimTypes.FamilyName, "Smith"),
                        new Claim(JwtClaimTypes.Email, "AliceSmith@email.com"),
                        new Claim(JwtClaimTypes.EmailVerified, "true", ClaimValueTypes.Boolean),
                        new Claim(JwtClaimTypes.WebSite, "http://alice.com"),
                        new Claim(JwtClaimTypes.Address, @"{ 'street_address': 'One Hacker Way', 'locality': 'Heidelberg', 'postal_code': 69118, 'country': 'Germany' }", IdentityServer4.IdentityServerConstants.ClaimValueTypes.Json)
                    }
                },
                new TestUser{SubjectId = "88421113", Username = "bob", Password = "bob",
                    Claims =
                    {
                        new Claim(JwtClaimTypes.Name, "Bob Smith"),
                        new Claim(JwtClaimTypes.GivenName, "Bob"),
                        new Claim(JwtClaimTypes.FamilyName, "Smith"),
                        new Claim(JwtClaimTypes.Email, "BobSmith@email.com"),
                        new Claim(JwtClaimTypes.EmailVerified, "true", ClaimValueTypes.Boolean),
                        new Claim(JwtClaimTypes.WebSite, "http://bob.com"),
                        new Claim(JwtClaimTypes.Address, @"{ 'street_address': 'One Hacker Way', 'locality': 'Heidelberg', 'postal_code': 69118, 'country': 'Germany' }", IdentityServer4.IdentityServerConstants.ClaimValueTypes.Json),
                        new Claim("location", "somewhere")
                    }
                }
            };
    }
}

2、创建一个名为 CodeMvcApp 的ASP.NET Core MVC客户端应用。

 选择Web 应用程序(模型视图控制器)模板

 

 创建完成后的项目截图

3、添加nuget包：IdentityServer4、IdentityModel、System.IdentityModel.Tokens.Jwt

4、配置MVC客户端

> Config.cs的ConfigureServices方法：

public void ConfigureServices(IServiceCollection services)
{
    services.AddControllersWithViews();

    JwtSecurityTokenHandler.DefaultInboundClaimTypeMap.Clear();

    services.AddAuthentication(options =>
    {
        options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
    }).AddCookie(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddOpenIdConnect(OpenIdConnectDefaults.AuthenticationScheme, options =>
    {
        options.SignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
        options.Authority = "http://localhost:5000";
        options.RequireHttpsMetadata = false;
        options.ClientId = "mvc client";
        options.ClientSecret = "mvc secret";
        options.SaveTokens = true;
        options.ResponseType = "code";

        options.Scope.Clear();
        options.Scope.Add("api1");
        options.Scope.Add(OidcConstants.StandardScopes.OpenId);
        options.Scope.Add(OidcConstants.StandardScopes.Profile);
        options.Scope.Add(OidcConstants.StandardScopes.Email);
        options.Scope.Add(OidcConstants.StandardScopes.Phone);
        options.Scope.Add(OidcConstants.StandardScopes.Address);
        options.Scope.Add(OidcConstants.StandardScopes.OfflineAccess);
    });
}

> Config.cs的Configure方法：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseExceptionHandler("/Home/Error");
    }
    app.UseStaticFiles();

    app.UseRouting();

    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Home}/{action=Index}/{id?}");
    });
}

给HomeController控制器加上[Authorize]特性

IdentityServer认证服务器需要在开发环境才能出现首页，所以另外打开这个项目并启动。

 再启动CodeMvcApp项目

我们看到MVC客户端默认跳转到了localhost:5000（IdentityServer认证服务器）的登录页（Account/Login），因为MVC客户端默认启动的是Home/Index，且Home控制器已被标记Authorize特性，需要登录才能访问

使用 alice / alice 进行登录，进入到了IdentityServer认证服务器的授权页面（consent），点击Yes, Allow

进入到了MVC客户端首页

我们打开IdentityServer认证服务器地址：http://localhost:5000

可以看到IdentityServer认证服务器显示了当前的登录用户，此时点击用户名可以显示出Logout登出按钮，点击登出即可完成注销登录

5、获取accecc_token并访问受保护API资源，修改HomeController的Index方法

using System;
using System.Diagnostics;
using System.Net.Http;
using System.Threading.Tasks;

using CodeMvcApp.Models;

using IdentityModel.Client;

using Microsoft.AspNetCore.Authentication;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Logging;
using Microsoft.IdentityModel.Protocols.OpenIdConnect;

public async Task<IActionResult> Index()
{
    HttpClient client = new HttpClient();
    DiscoveryDocumentResponse disco = await client.GetDiscoveryDocumentAsync("http://localhost:5000/");
    if (disco.IsError)
    {
        throw new Exception(disco.Error);
    }

    string accessToken = await HttpContext.GetTokenAsync(OpenIdConnectParameterNames.AccessToken);
    client.SetBearerToken(accessToken);

    HttpResponseMessage response = await client.GetAsync("http://localhost:6000/WeatherForecast");
    if (!response.IsSuccessStatusCode)
    {
        throw new Exception(response.ReasonPhrase);
    }

    string content = await response.Content.ReadAsStringAsync();
    return View("Index", content);
}

修改Index.cshtml来显示访问API的结果

@{
    ViewData["Title"] = "Home Page";
}
@model string

<div class="text-center">
    <h1 class="display-4">Welcome</h1>
    <p>Learn about <a href="https://docs.microsoft.com/aspnet/core">building Web apps with ASP.NET Core</a>.</p>
</div>

<h2>Api Resource Result:</h2>
<p>@Model</p>

修改一下HomeController的Privacy方法

public async Task<IActionResult> Privacy()
{
    string accessToken = await HttpContext.GetTokenAsync(OpenIdConnectParameterNames.AccessToken);
    string idToken = await HttpContext.GetTokenAsync(OpenIdConnectParameterNames.IdToken);

    string refreshToken = await HttpContext.GetTokenAsync(OpenIdConnectParameterNames.RefreshToken);
    //code只能使用一次，所以获取不到
    //string code = await HttpContext.GetTokenAsync(OpenIdConnectParameterNames.Code);

    ViewData["accessToken"] = accessToken;
    ViewData["idToken"] = idToken;
    ViewData["refreshToken"] = refreshToken;

    return View();
}

修改Privacy.cshtml来显示token相关信息和用户身份声明相关信息

@{
    ViewData["Title"] = "Privacy Policy";
}
<h1>@ViewData["Title"]</h1>

<h2>Access Token:</h2>
<p>@ViewData["accessToken"]</p>

<h2>Id Token:</h2>
<p>@ViewData["idToken"]</p>

<h2>Refresh Token:</h2>
<p>@ViewData["refreshToken"]</p>

<h2>Claims:</h2>
<dl>
    @foreach (var claim in User.Claims)
    {
        <dt>@claim.Type</dt>
        <dd>@claim.Value</dd>
    }
</dl>

重新启动MVC客户端，成功获取access_token，并使用access_tokem访问受保护的API资源

> Home/Index

> Home/Policy

6、显示登录的用户，并实现登出

修改Views/Shared/_Layout.cshtml，增加当前登录用户名称和登出按钮的显示

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="utf-8" />
    <meta name="viewport" content="width=device-width, initial-scale=1.0" />
    <title>@ViewData["Title"] - CodeMvcApp</title>
    <link rel="stylesheet" href="~/lib/bootstrap/dist/css/bootstrap.min.css" />
    <link rel="stylesheet" href="~/css/site.css" />
</head>
<body>
    <header>
        <nav class="navbar navbar-expand-sm navbar-toggleable-sm navbar-light bg-white border-bottom box-shadow mb-3">
            <div class="container">
                <a class="navbar-brand" asp-area="" asp-controller="Home" asp-action="Index">CodeMvcApp</a>
                <button class="navbar-toggler" type="button" data-toggle="collapse" data-target=".navbar-collapse" aria-controls="navbarSupportedContent"
                        aria-expanded="false" aria-label="Toggle navigation">
                    <span class="navbar-toggler-icon"></span>
                </button>
                <div class="navbar-collapse collapse d-sm-inline-flex flex-sm-row-reverse">
                    <ul class="navbar-nav flex-grow-1" style="position: relative;">
                        <li class="nav-item">
                            <a class="nav-link text-dark" asp-area="" asp-controller="Home" asp-action="Index">Home</a>
                        </li>
                        <li class="nav-item">
                            <a class="nav-link text-dark" asp-area="" asp-controller="Home" asp-action="Privacy">Privacy</a>
                        </li>
                        @if (User.Identity.IsAuthenticated)
                        {
                            <li class="nav-item" style="position: absolute; right: 0;">
                                <span>Welcome，@User.Claims.FirstOrDefault(x => x.Type.Equals("given_name")).Value</span>
                                <a class="nav-link text-dark" asp-area="" asp-controller="Home" asp-action="Logout" style="display: inline-block;">Logout</a>
                            </li>
                        }
                    </ul>
                </div>
            </div>
        </nav>
    </header>
    <div class="container">
        <main role="main" class="pb-3">
            @RenderBody()
        </main>
    </div>

    <footer class="border-top footer text-muted">
        <div class="container">
            &copy; 2020 - CodeMvcApp - <a asp-area="" asp-controller="Home" asp-action="Privacy">Privacy</a>
        </div>
    </footer>
    <script src="~/lib/jquery/dist/jquery.min.js"></script>
    <script src="~/lib/bootstrap/dist/js/bootstrap.bundle.min.js"></script>
    <script src="~/js/site.js" asp-append-version="true"></script>
    @RenderSection("Scripts", required: false)
</body>
</html>

修改HomeController，增加Logout方法

using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Authentication.OpenIdConnect;

public async Task Logout()
{
    await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
    await HttpContext.SignOutAsync(OpenIdConnectDefaults.AuthenticationScheme);
}

重新运行项目，导航栏右侧就显示了当前用户名和登出按钮

 点击Logout登出，跳转到了IdentityServer认证服务器的登出页面（Account/Logout），此时已经登出了，但是界面停在了IdentityServer的注销成功页面

点击“here”，可以跳转到MVC客户端，但是不是很友好

 此时我们打开IdentityServer认证服务器地址：http://localhost:5000，看到IdentityServer认证服务器的用户已经显示被注销

然后来解决上面不友好的问题，修改IdentityServer服务器，打开Quickstart/Account/AccountOptions.cs，将AutomaticRedirectAfterSignOut设置为true，即登出后自动跳转

修改完成后重启IdentityServer认证服务器，再重启MVC客户端即可解决。

7、为MVC客户端刷新Token

在IdentityServer认证服务器Config.cs中MVC客户端做下修改，加上访问令牌的过期时间（或者叫生存期）

在API项目WebApplication1的Startup.cs/ConfigureServices/AddJwtBearer的options中添加两个参数

因为Jwt验证token时间偏移默认为5分钟，会出现token过期了还能访问Api资源的问题，只有到了验证token的时间偏移，才会禁止访问Api

所以我们设置为1分钟偏移，并启用必须设置token的过期时间选项，以防止token过期了还能对Api进行访问

但是还是会存在一个时间差，比如token已经过期了，API验证token时间还没有到，这个没有什么办法，API可以把验证token的时间设置更短一些，但是也会消耗过多的资源，所以根据实际情况来设置

public void ConfigureServices(IServiceCollection services)
{
    services.AddControllers();

    //将身份验证服务添加到DI并配置Bearer为默认方案。
    services.AddAuthentication("Bearer")
        .AddJwtBearer("Bearer", options =>
        {
            //指定授权地址
            options.Authority = "http://localhost:5000";
            //获取或设置元数据地址或权限是否需要HTTPS。默认值为true。这应该只在开发环境中禁用。
            options.RequireHttpsMetadata = false;
            //获取或设置任何接收到的OpenIdConnect令牌的访问群体。
            options.Audience = "api1";

            //设置验证时间时要应用的时钟偏移，即token多久验证一次，默认为5分钟
            options.TokenValidationParameters.ClockSkew = TimeSpan.FromMinutes(1);
            //指示令牌是否必须具有“过期”值
            options.TokenValidationParameters.RequireExpirationTime = true;
        });
}

然后重新启动IdentityServer认证服务器、Api资源项目WebApplication1、MVC客户端，进入到MVC客户端首页后，等1分钟之后再刷新

出现了错误，401 Unauthorized未授权，原因是access_token已过期

接下来实现刷新token，在HomeController定义一个方法RenewTokenAsync，用于刷新访问令牌

/// <summary>
/// 更新/刷新令牌
/// </summary>
/// <returns>访问令牌</returns>
public async Task<string> RenewTokenAsync()
{
    HttpClient client = new HttpClient();
    DiscoveryDocumentResponse disco = await client.GetDiscoveryDocumentAsync("http://localhost:5000/");
    if (disco.IsError)
    {
        throw new Exception(disco.Error);
    }

    //获取刷新令牌
    string refreshToken = await HttpContext.GetTokenAsync(OpenIdConnectParameterNames.RefreshToken);

    //根据刷新令牌重新获取访问令牌
    TokenResponse tokenResponse = await client.RequestRefreshTokenAsync(new RefreshTokenRequest
    {
        Address = disco.TokenEndpoint,
        ClientId = "mvc client",
        ClientSecret = "mvc secret",
        Scope = "api1 openid profile email phone address",
        GrantType = OpenIdConnectGrantTypes.RefreshToken,
        RefreshToken = refreshToken
    });
    if (tokenResponse.IsError)
    {
        throw new Exception(tokenResponse.Error);
    }
    else
    {
        //重新计算过期时间（当前时间+token的有效期秒）
        var expiresAt = DateTime.UtcNow + TimeSpan.FromSeconds(tokenResponse.ExpiresIn);
        //定义令牌集合，用于重新更新令牌
        var tokens = new[]
        {
            //重新设置身份令牌
            new AuthenticationToken
            {
                Name = OpenIdConnectParameterNames.IdToken,
                Value = tokenResponse.IdentityToken
            },
            //重新设置访问令牌
            new AuthenticationToken
            {
                Name = OpenIdConnectParameterNames.AccessToken,
                Value = tokenResponse.AccessToken
            },
            //重新设置刷新令牌
            new AuthenticationToken
            {
                Name = OpenIdConnectParameterNames.RefreshToken,
                Value = tokenResponse.RefreshToken
            },
            //重新设置过期时间
            new AuthenticationToken
            {
                Name = "expires_at",
                Value = expiresAt.ToString("o", CultureInfo.InvariantCulture)
            }
        };

        //获取身份认证的结果，包含当前的用户标识声明主体（Principal）+会话的其他状态值（Properties）
        var currentAuthenticateResult =
            await HttpContext.AuthenticateAsync(CookieAuthenticationDefaults.AuthenticationScheme);
        //将存储的token都重新更新一遍（将新的tokens存起来）
        currentAuthenticateResult.Properties.StoreTokens(tokens);

        //将当前身份认证结果（用户标识声明主体+会话的其他状态值）代入，重新执行登录动作
        await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme,
            currentAuthenticateResult.Principal,//身份验证的用户标识的声明主体
            currentAuthenticateResult.Properties//身份验证会话的其他状态值
        );

        return tokenResponse.AccessToken;
    }
}

在HomeController/Index方法中，增加判断条件，调用API资源不成功时，判断如果响应的结果状态码是401 Unauthorized未授权，则重新刷新令牌并重定向到当前Action，即Home/Index

重新运行MVC客户端，即可查验效果

当token过期，会重新获取access_token并更新存储的tokens，重定向到当前Action，即刷新，刷新时就重新调用了API资源，此时token是刷新后的token，就能正常的访问API资源了

Over, Thanks!!!

【参考资料】

微软MVP杨旭老师的IdentityServer4哔哩哔哩教学视频：Identity Server 4 原理和实战