【发布时间】：2020-05-04 16:20:18
【问题描述】：
我正在设计具有以下组件的系统： - 角SPA - .NET Core 微服务（AuthService 中的其中之一）
我想实现架构，我的 IS4 将充当联合网关（作为外部提供商的客户端 - Facebook、Microsoft、Google 等）。同时它必须充当 Angular SPA 的提供者（它将充当客户端）。
所以我想实现下一个流程。 - 用户点击社交网络登录按钮（来自 SPA） - IS4 被调用并充当外部提供的客户端 - 用户完成身份验证，IS4 收到的外部令牌 - ？？？ - SPA 客户端获取内部令牌
所以主要的问题是如何实现从外部提供者到内部提供者的交换令牌。 - 对于这种情况，应如何设置 SPA？ - 收到外部token后，IS4和SPA如何整合？ - 在这种情况下，SPA 的请求中应该包含哪些参数？ - 我们可以使用 IS4 令牌端点并通过 IS4 内部进行内部令牌发行吗？
【问题讨论】：
-
有一个关于如何将 SP4 设置为外部提供商的联合网关的教程。 identityserver4.readthedocs.io/en/latest/topics/…。您的场景是否超出了文档的范围？
-
我研究了有关 SO 的文档、文章、问题和大量可用示例，但没有找到相关信息。给定的文章描述了这种架构的一般概念。但是我的问题的范围是正确的流程（必须如何注册 SPA）和此流程中的令牌交换（我可以自己生成令牌并在查询参数中将其返回给客户端，但不要这样这是正确和安全的方式）
-
IS4 的默认方案是返回从外部提供程序接收到的任何令牌，以供客户端（您的 SPA）使用。但是您绝对可以创建一个内部令牌并在微服务周围使用它。另一件事是您可以在 JSON 请求/响应正文而不是查询参数中传递您的令牌，并使用 HTTPS 进行连接。
-
@Ghukas 这对我来说听起来有些奇怪，因为如果我要从不同的外部提供者返回令牌，我将需要为我的微服务中的每个提供者设置验证参数（例如，如果我们这样做服务中的验证）。当出现新的提供者时，必须更新所有微服务。是不是听起来有点奇怪？我知道授权交换（但在这种情况下，应该从 SPA 调用整个外部提供程序，并且必须在我的背上交换令牌）。但这不是联邦网关方式。感谢您的关注和时间
-
(1/2) 嗯，我的想法是所有外部提供程序都添加到 IS4 中，因此，在 IS4 中进行验证。如果将来需要添加另一个外部提供程序，您需要添加服务配置并在您可以创建的
ExternalProviderValidator中完成验证。