在 .NET 授权框架中自定义 At_hash 验证

Question

我正在使用 .Net Core 3.1 授权框架来制作 Openid 流，并将我的授权重定向到第三方提供商，这是我的配置：

services.AddAuthorization(cfg =>
                {
                    cfg.AddPolicy("MyPolicy", cfgPolicy =>
                    {
                        cfgPolicy.AddRequirements().RequireAuthenticatedUser();
                        cfgPolicy.AddAuthenticationSchemes(OpenIdConnectDefaults.AuthenticationScheme);
                    });
                }).AddAuthentication(cfg =>
                {
                    cfg.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
                    cfg.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
                })
                .AddCookie()
                .AddOpenIdConnect(cfg =>
                {
                    cfg.ClientId = authenticationConfig.ClientId;
                    cfg.ClientSecret = authenticationConfig.ClientSecret;
                    cfg.ResponseType = "code";
                    cfg.CallbackPath = "/login/callback";
                    cfg.GetClaimsFromUserInfoEndpoint = true;
                    cfg.Scope.Clear();
                    cfg.Scope.Add("openid");
                    cfg.Configuration = new OpenIdConnectConfiguration
                    {
                        AuthorizationEndpoint = authenticationConfig.UrlSts + "authorize",
                        TokenEndpoint = "https://interal.io/api/oauth/token",
                        UserInfoEndpoint = "https://interal.io/api/oauth/token_info"
                    };
                });

但我在类 OpenIdConnectProtocolValidator 中的 ValidationHash 步骤中遇到错误。我的 at_hash 声明以不同的方式生成，不等于此处指定：https://openid.net/specs/openid-connect-core-1_0.html#IDTokenValidation。

如何在 OpenIdConnectProtocolValidator 类中自定义 ValidateHash 方法？？

Answer 1

可以用您自己的实现覆盖OpenIdConnectProtocolValidator。

public class CustomOpenIdConnectProtocolValidator : OpenIdConnectProtocolValidator
{
    protected override void ValidateAtHash(OpenIdConnectProtocolValidationContext validationContext)
    {
        // Custom validation.
    }
}

比Startup.cs 可以自定义协议验证器：

.AddOpenIdConnect(cfg =>
{
    cfg.ProtocolValidator = new CustomOpenIdConnectProtocolValidator();
});

但要小心； at_hash 值应该是 access_token 值的 ASCII 表示的八位字节哈希的最左半部分的 base64url 编码，其中使用的哈希算法是 ID 令牌的 alg Header 参数中使用的哈希算法何塞标题。

规范就是规范是有原因的。您应该有充分的理由偏离规范。