使用 IdentityServer4 保护多个 API

Question

我们使用 IdentityServer4 来保护我们的 API，实际上我们有多个 API，我们想用 IdentityServer4 保护这些 API（即通过生成访问令牌）但是我们对验证访问令牌有疑问，我们是否需要编写以下代码在每个 API 中？

  public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        services.AddMvcCore()
            .AddAuthorization()
            .AddJsonFormatters();

        services.AddAuthentication("Bearer")
            .AddIdentityServerAuthentication(options =>
            {
                options.Authority = "http://localhost:5000";
                options.RequireHttpsMetadata = false;

                options.ApiName = "api1";
            });
    }

    public void Configure(IApplicationBuilder app)
    {
        app.UseAuthentication();

        app.UseMvc();
    }
}

实际上我们正在关注本教程（“http://docs.identityserver.io/en/release/quickstarts/1_client_credentials.html”），他们提到我们必须在相应的 API 中描述这一点。

Answer 1

您的问题的简短回答是 - 是的，您愿意。

解释 - 你必须告诉每个 API 使用什么身份验证，以及哪个是提供者。

根据平台（.NET Framework 或 Core），您应该使用 IdentityServer3.Contrib.AccessTokenValidation（冻结分支的最新 fork）或 IdentityServer4.AccessTokenValidation 包。

据我所知 - 您已经有了 .NET Core 方法的代码，而且看起来不错。

.NET Framework API 的一个可以找到here

希望这会有所帮助。

Answer 2

您应该创建一个单独的 AuthServer 应用并在其中编写这些代码。

然后您可以使用 IdentityServer4.AccessTokenValidation 包验证您的 AuthServer 生成的 jwt 令牌。

你的 AuthServer 应该是这样的；

public void ConfigureServices(IServiceCollection services)
{
    var idSrvBuilder = services.AddIdentityServer()
        .AddSigningCredential(new X509Certificate2(
            Path.Combine(Environment.ContentRootPath, "certs", "yourcert.pfx"), "yourcertpass",
            X509KeyStorageFlags.MachineKeySet))
        .AddResourceOwnerValidator<ResourceOwnerPasswordValidator>()
        .AddProfileService<ProfileService>()
        .AddInMemoryIdentityResources(Config.GetIdentityResources())
        .AddInMemoryApiResources(Config.GetApiResources())
        .AddInMemoryClients(Config.GetClients());
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
    app.UseIdentityServer();
}

IdentityServer 配置可以看这里：http://docs.identityserver.io/en/release/topics/startup.html

在您的其他 api 中，您可以验证 jwt 令牌，如下所示；

 public void ConfigureServices(IServiceCollection services)
 {
    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
                .AddJwtBearer(options =>
                {
                    options.Authority = "http://YourAuthServerUrl";
                    options.RequireHttpsMetadata = false;
                    options.Audience = "api1";
                });
 }

public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
    builder.UseAuthentication();
}