1 前置阅读
在阅读本文章之前，你可以先阅读：
- IdentityServer4是什么
2 授权认证服务（IdentityServer）
首先，创建S041.IdentityServer Web API 项目，将IdentityServer4的NuGet软件包安装到您的应用程序中。
IdentityServer4
然后，定义API范围，API是您系统中要保护的资源，给您的API取一个逻辑名称就很重要。开发人员将使用它通过您的身份服务器连接到您的api。它应该以简单的方式向开发人员和用户描述您的api。
public static IEnumerable<ApiScope> ApiScopes =>
new List<ApiScope>
{
new ApiScope("api1", "My API")
};
接着，定义客户，即用于访问新API的客户端应用程序。
public static IEnumerable<Client> Clients =>
new List<Client>
{
new Client
{
// 定义客户端ID
ClientId = "client",
// 授权方式为客户端凭据模式，类型可参考GrantTypes枚举
AllowedGrantTypes = GrantTypes.ClientCredentials,
// 定义客户端秘钥
ClientSecrets =
{
new Secret("secret".Sha256())
},
// 允许客户端访问的范围
AllowedScopes = { "api1" }
}
};
您可以将ClientId和ClientSecret视为应用程序本身的登录名和密码。
接着，配置IdentityServer，在Startup.ConfigureServices中，如下所示：
public void ConfigureServices(IServiceCollection services)
{
var builder = services.AddIdentityServer()
.AddInMemoryApiScopes(Config.ApiScopes)
.AddInMemoryClients(Config.Clients);
builder.AddDeveloperSigningCredential();
}
最后，配置中间件，在Startup.Configure中，如下所示：
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
app.UseDeveloperExceptionPage();
app.UseIdentityServer();
}
如果运行服务器并将浏览器导航到https://localhost:5001/.well-known/openid-configuration，则应该看到所谓的发现文档。
首次启动时，IdentityServer将为您创建一个开发人员签名密钥，该文件名为tempkey.jwk。您无需将该文件签入源代码管理中，如果不存在该文件将被重新创建。
3 业务资源服务（API）
首先，创建S041.Api Web API 项目，将Microsoft.AspNetCore.Authentication.JwtBearer的NuGet软件包安装到您的应用程序中。
Microsoft.AspNetCore.Authentication.JwtBearer
然后，配置API，在Startup.ConfigureServices中，如下所示：
public void ConfigureServices(IServiceCollection services)
{
services.AddControllers();
services.AddSwaggerGen(c =>
{
c.SwaggerDoc("v1", new OpenApiInfo { Title = "S041.Api", Version = "v1" });
});
services.AddAuthentication("Bearer")
.AddJwtBearer("Bearer", options =>
{
options.Authority = "https://localhost:5001";
options.TokenValidationParameters = new TokenValidationParameters
{
ValidateAudience = false
};
});
}
AddAuthentication将身份验证服务添加到DI并配置Bearer为默认方案。
接着，配置中间件，在Startup.Configure中，如下所示：
public void Configure(IApplicationBuilder app)
{
app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();
app.UseEndpoints(endpoints =>
{
endpoints.MapControllers();
});
}
- UseAuthentication 将身份验证中间件添加到管道中，以便对主机的每次调用都将自动执行身份验证。
最后，修改控制器，添加 [Authorize]
[ApiController]
[Route("[controller]")]
[Authorize]
public class WeatherForecastController : ControllerBase
{
}
4 API 测试
首先，用PostMan测试未加Token的API, 如图所示：
然后，用PostMan获取Token 如图所示：
最后，用PostMan测试加Token的API 如图所示：
5 API 授权
目前，API接受您的身份服务器发出的所有访问令牌。
首先，我们将添加代码，该代码允许检查客户端请求（并被授予）的访问令牌中是否存在作用域。
services.AddAuthorization(options =>
{
options.AddPolicy("ApiScope", policy =>
{
policy.RequireAuthenticatedUser();
policy.RequireClaim("scope", "api1");
});
});
最后，为路由系统中的所有API端点设置策略：
app.UseEndpoints(endpoints =>
{
endpoints.MapControllers()
.RequireAuthorization("ApiScope");
});