接上一篇：IdentityServer4 初识，上一篇介绍了客户端模式保护API访问。这一篇讲IdentityServer4 使用用户名和密码模式保护API访问。
- 添加用户：要用到用户名称密码当然得添加用户，在IdentityServer项目的Config类中的新增一个方法，GetUsers。返回一个TestUser的集合。
public static List<TestUser> GetUsers() {
return new List<TestUser>()
{
new TestUser()
{
//用户名
Username="apiUser",
//密码
Password="apiUserPassword",
//用户Id
SubjectId="0"
}
};
}
添加好用户还需要要将用户注册到IdentityServer4，修改IdentityServer项目的Startup类ConfigureServices方法
public void ConfigureServices(IServiceCollection services)
{
services.AddMvc();
//添加IdentityServer
var builder = services.AddIdentityServer()
//身份信息授权资源
.AddInMemoryIdentityResources(Config.GetIdentityResources())
//API访问授权资源
.AddInMemoryApiResources(Config.GetApis())
//客户端
.AddInMemoryClients(Config.GetClients())
//添加用户
.AddTestUsers(Config.GetUsers());
if (Environment.IsDevelopment())
{
builder.AddDeveloperSigningCredential();
}
else
{
throw new Exception("need to configure key material");
}
}
- 添加一个客户端，用于用户名和密码模式的访问。客户端（Client）定义里有一个AllowedGrantTypes的属性，这个属性决定了Client可以被那种模式被访问，GrantTypes.ClientCredentials为客户端凭证模式，GrantTypes.ResourceOwnerPassword为用户名密码模式。上一节添加的Client是客户端凭证模式，所以还需要添加一个Client用于支持用户名密码模式。
public static IEnumerable<Client> GetClients()
{
return new Client[] {
new Client()
{
//客户端Id
ClientId="apiClientCd",
//客户端密码
ClientSecrets={new Secret("apiSecret".Sha256()) },
//客户端授权类型，ClientCredentials:客户端凭证方式
AllowedGrantTypes=GrantTypes.ClientCredentials,
//允许访问的资源
AllowedScopes={
"secretapi"
}
},
new Client()
{
//客户端Id
ClientId="apiClientPassword",
//客户端密码
ClientSecrets={new Secret("apiSecret".Sha256()) },
//客户端授权类型，ClientCredentials:客户端凭证方式
AllowedGrantTypes=GrantTypes.ResourceOwnerPassword,
//允许访问的资源
AllowedScopes={
"secretapi"
}
}
};
}
至此，服务端工作完成。转到IentityApi项目。
- 在后台获取Token:IdentityModel为支持用户名密码模式，对HttpClient做了一个扩展方法：RequestPasswordTokenAsync，修改一下IdentityController控制器的getToken接口，让它支持用户名密码模式获取Token
[HttpGet]
[Route("api/getToken")]
public async Task<object> GetCdTokenAsync(string type,bool? request)
{
var client = new HttpClient();
var disco = await client.GetDiscoveryDocumentAsync("http://localhost:5000");
TokenResponse resp = null;
switch (type)
{
case "cd":
resp = await client.RequestClientCredentialsTokenAsync(new ClientCredentialsTokenRequest
{
//获取Token的地址
Address = disco.TokenEndpoint,
//客户端Id
ClientId = "apiClientCd",
//客户端密码
ClientSecret = "apiSecret",
//要访问的api资源
Scope = "secretapi"
});
break;
case "pass":
resp = await client.RequestPasswordTokenAsync(new PasswordTokenRequest()
{
//获取Token的地址
Address = disco.TokenEndpoint,
//客户端Id
ClientId = "apiClientPassword",
//客户端密码
ClientSecret = "apiSecret",
//要访问的api资源
Scope = "secretapi",
//用户名
UserName = "apiUser",
//密码
Password = "apiUserPassword"
});
break;
}
//如果request为true，直接利用token访问被保护的api
if (request??false&&null!=resp)
{
//添加Bearer认证头
client.SetBearerToken(resp.AccessToken);
var reslut =await client.GetStringAsync("https://localhost:5001/api/identity");
JArray json = JArray.Parse(reslut);
return json;
}
return resp?.Json;
}
- 同样，也可以通过HTTP请求获取
获取到Token后，访问受保护的API和通过客户端模式一样。
到目前为止，昨们还没有搞清这两个模式有什么区别，如果仅仅是为了能访问这个API，那加不加用户名和密码有什么区别呢。昨们对比下这两种模式取得Token后访问api返回的数据，可以发现用户名密码模式返回的Claim的数量要多一些。Claim是什么呢，简尔言之，是请求方附带在Token中的一些信息。但客户端模式不涉及到用户信息，所以返回的Claim数量会少一些。在IdentityServer4中，TestUser有一个Claims属性，允许自已添加Claim，有一个ClaimTypes枚举列出了可以直接添加的Claim。添加一个ClaimTypes.Role试试。
IdentityServer.Config.GetUsers
public static List<TestUser> GetUsers() {
return new List<TestUser>()
{
new TestUser()
{
//用户名
Username="apiUser",
//密码
Password="apiUserPassword",
//用户Id
SubjectId="0",
Claims=new List<Claim>(){
new Claim(ClaimTypes.Role,"admin")
}
}
};
}
这时如果启动两个项目，采用用户密码和密码模式获取Token访问Api，返回的值依然是没有role:admin的Claim的。这时又要用到ApiResouce，ApiResouce的构造函数有一个重载支持传进一个Claim集合，用于允许该Api资源可以携带那些Claim。
IdentityServer.Config.GetApis
public static IEnumerable<ApiResource> GetApis()
{
return new ApiResource[] {
//secretapi:标识名称，Secret Api：显示名称，可以自定义
new ApiResource("secretapi","Secret Api",new List<string>(){ ClaimTypes.Role})
};
}
现在可以启动IdentityApi和IdentityServer两个项目测试一下，可以发现已经可以返回role这个claim了。
Role（角色）这个Claim很有用，可以用来做简单的权限管理。
首先修改下被保护Api的，使其支持Role验证
IdentityApi.Controllers.IdentityController.GetUserClaims
[HttpGet]
[Route("api/identity")]
[Microsoft.AspNetCore.Authorization.Authorize(Roles ="admin")]
public object GetUserClaims()
{
return User.Claims.Select(r => new { r.Type, r.Value });
}
然后在IdentityServer端添加一个来宾角色用户
IdentityServer.Config.GetUsers
public static List<TestUser> GetUsers() {
return new List<TestUser>()
{
new TestUser()
{
//用户名
Username="apiUser",
//密码
Password="apiUserPassword",
//用户Id
SubjectId="0",
Claims=new List<Claim>(){
new Claim(ClaimTypes.Role,"admin")
}
},
new TestUser()
{
//用户名
Username="apiUserGuest",
//密码
Password="apiUserPassword",
//用户Id
SubjectId="1",
Claims=new List<Claim>(){
new Claim(ClaimTypes.Role,"guest")
}
}
};
}
再回到IdentityApi，修改下测试接口，把用户名和密码参数化，方便调试
IdentityApi.Controllers.IdentityController.getCdTokenAsync
[HttpGet]
[Route("api/getToken")]
public async Task<object> GetCdTokenAsync(string type,bool? request,string username,string password)
{
var client = new HttpClient();
var disco = await client.GetDiscoveryDocumentAsync("http://localhost:5000");
TokenResponse resp = null;
switch (type)
{
case "cd":
resp = await client.RequestClientCredentialsTokenAsync(new ClientCredentialsTokenRequest
{
//获取Token的地址
Address = disco.TokenEndpoint,
//客户端Id
ClientId = "apiClientCd",
//客户端密码
ClientSecret = "apiSecret",
//要访问的api资源
Scope = "secretapi"
});
break;
case "pass":
resp = await client.RequestPasswordTokenAsync(new PasswordTokenRequest()
{
//获取Token的地址
Address = disco.TokenEndpoint,
//客户端Id
ClientId = "apiClientPassword",
//客户端密码
ClientSecret = "apiSecret",
//要访问的api资源
Scope = "secretapi",
//用户名
UserName = username,
//密码
Password = password
});
break;
}
if (request??false&&null!=resp)
{
//添加Bearer认证头
client.SetBearerToken(resp.AccessToken);
var reslut =await client.GetStringAsync("https://localhost:5001/api/identity");
JArray json = JArray.Parse(reslut);
return json;
}
return resp?.Json;
}
分别用apiUser和apiUserGuest访问
apiUserGuest访问被拒绝。
上边是添加ClaimTypes枚举里定义好的Claim，但如果要定义的Claim不在Claim枚举里应该怎么办呢，比如我想所有用户都有一个项目编号，要添加一个名为prog的Claim。
先在ApiResouce里允许携带名为prog.Claim
IdentityServer.Config.GetApis
public static IEnumerable<ApiResource> GetApis()
{
return new ApiResource[] {
//secretapi:标识名称，Secret Api：显示名称，可以自定义
new ApiResource("secretapi","Secret Api",new List<string>(){ ClaimTypes.Role,ClaimTypes.Name,"prog"})
};
}
在用户定义的Claims属性里添加prog信息
IdentityServer.Config.
GetUsers
public static List<TestUser> GetUsers() {
return new List<TestUser>()
{
new TestUser()
{
//用户名
Username="apiUser",
//密码
Password="apiUserPassword",
//用户Id
SubjectId="0",
Claims=new List<Claim>(){
new Claim(ClaimTypes.Role,"admin"),
new Claim("prog","正式项目"),
}
},
new TestUser()
{
//用户名
Username="apiUserGuest",
//密码
Password="apiUserPassword",
//用户Id
SubjectId="1",
Claims=new List<Claim>(){
new Claim(ClaimTypes.Role,"guest"),
new Claim("prog","测试项目"),
}
}
};
}
使用apiUser访问
用户密码和密码模式就讲到这，两种模式讲完，Config类里的IdentityResource还一点都没用上，它倒底有什么用呢，下一节讲另外二种模式：授权码模式和隐藏模式会用到它。