无法在 dotntecore web 中验证身份服务器令牌

Question

我有一个类似于 Microsoft 默认模板的 Asp.netCoreWebApplication->ASP.netCoreWithReact.js 的应用程序。

在这个反应客户端将被包装在一个 .netcore 项目中。所有的 UI 页面都将由 React 提供。 .Net 核心后端将仅用于 API。

现在我已经实现了 IdentityServer4 并且能够在这个端点生成令牌， http://localhost:60739/token

从反应客户端，点击登录按钮，我可以对 http://localhost:60739/token 进行 API 调用，并可以使用授权类型密码流生成令牌。但我无法使用该令牌验证我的 api 端点

以下是我在身份服务器解决方案中的客户端定义，

  new Client
           {
             ClientName = "Resource Owner Flow",
             ClientId = "resource_owner_flow",
             AllowedGrantTypes = GrantTypes.ResourceOwnerPassword,
             ClientSecrets =
             {
               new Secret("resource_owner_flow_secret".Sha256())
             },
             AllowedScopes =
             {
               IdentityServerConstants.StandardScopes.OpenId,
               IdentityServerConstants.StandardScopes.OfflineAccess
             },
             AllowOfflineAccess = true,
             RefreshTokenUsage = TokenUsage.ReUse,
             //AccessTokenLifetime = 60,
             RefreshTokenExpiration = TokenExpiration.Absolute,
             AbsoluteRefreshTokenLifetime = 300
           }

下面是我用来引用身份服务器的一段代码，

 services.AddAuthentication("Bearer")
        .AddJwtBearer("Bearer", options =>
        {
            options.Authority = "http://localhost:60739";
            options.TokenValidationParameters.ValidateAudience = false;
            options.TokenValidationParameters.ValidateIssuer = false;
            options.TokenValidationParameters.ValidateIssuerSigningKey = false;
            options.TokenValidationParameters.ValidateLifetime = false;
            options.TokenValidationParameters.ValidateTokenReplay = false;
            options.IncludeErrorDetails = true;
        });

我无法成功访问受保护的 api 资源？有什么想法吗？

如果我使用标头中的令牌调用 http://localhost:57102/api/Home/GetSomeProtectedData，我会收到 500 内部服务器错误。如果我删除受保护资源上的授权属性，它工作正常。

以下是邮递员截图，

下面是用于创建令牌的日志，

IdentityServer4.Validation.TokenRequestValidator：信息：令牌请求验证成功，

 {
   "ClientId": "resource_owner",
   "ClientName": "Resource Owner",
   "GrantType": "password",
   "Scopes": "openid",
   "AuthorizationCode": "********",
   "RefreshToken": "********",
   "UserName": "superadmin@gmail.com",
   "Raw": {
      "username": "superadmin@gmail.com",
      "password": "***REDACTED***",
      "grant_type": "password",
      "scope": "openid",
      "response_type": "token"
   }

}

但是当我请求标头中带有令牌的受保护 API 资源时，我收到 500 个内部服务器错误并创建了日志。

Answer 1

如果您收到 500 错误，则问题不在于授权流程。否则将是 401。

您需要检查真正的错误是什么。这可能是解析错误。由于服务器端错误，您根本无法完成该过程。请分享更多信息，可能是日志，所以我更新答案。