Google OpenId Connect 迁移：在 ASP.NET 应用程序中获取 openid_id

Question

我浏览了大量 Google 文档和 SO Q/A，但没有运气。我想知道是否有人按照 Google 的建议成功使用了 OpenId 到 OpenId Connect 的迁移。

这是我们过去常做的：

IAuthenticationResponse response = _openid.GetResponse();
if (response != null) {
   //omitted for brevity       
} else {
   IAuthenticationRequest req = _openid.CreateRequest("https://www.google.com/accounts/o8/id");
   req.AddExtension(new ClaimsRequest
                    {
                        Country = DemandLevel.Request,
                        Email = DemandLevel.Request,
                        Gender = DemandLevel.Require,
                        PostalCode = DemandLevel.Require,
                        TimeZone = DemandLevel.Require
                    });
   req.RedirectToProvider();
}

这是使用几年前的 DotNetOpenAuth 版本完成的。由于 Google 已弃用 OpenID 身份验证，我们正试图转移到 OpenID Connect。这里的关键问题是：我能否以某种方式使用最新版本的 DotNetOpenAuth 库或通过任何其他方式获得 OpenId 标识符（以https://www.google.com/accounts/o8/id?id=xyz 的形式）？

我尝试了最新的 DotNetOpenAuth，我可以让它工作，但它给了我一个新的 ID（这是预期的）。我还尝试了使用此 URL 的 Javascript 方式（为了便于阅读而换行）：

https://accounts.google.com/o/oauth2/auth?
    scope=openid%20profile%20email
    &openid.realm=http://localhost/palkkac/
    &client_id=//here is the client id I created in google developer console
    &redirect_uri=http://localhost/palkkac/someaspxpagehere
    &response_type=id_token%20token

我检查了（使用 Fiddler）我们当前使用旧的 DotNetOpenAuth 代码发送的领域值，它是 http://localhost/palkkac/。我在上面的网址中放置了相同的领域。重定向 url 以领域值开头，但并不完全相同。

当我重定向到解析 id_token 并解密它的简单页面（使用 https://www.googleapis.com/oauth2/v1/tokeninfo?id_token=zyx 端点）时，我得到了这个：

audience    "client id is here"
email   "mikkark@gmail.com"
expires_in  3597
issued_at   //some numbers here
issued_to   "client id is here"
issuer  "accounts.google.com"
user_id     "here is a sequence of numbers, my id in the OpenID Connect format that is"
verified_email  true

因此，这里没有您希望找到的 openid_id 字段的迹象，尽管消息的整个结构似乎与 Google 文档不同，例如，没有标题为 sub 的字段。我想知道我是否真的使用了错误的端点、参数或其他东西？

我一直在阅读的是迁移指南：https://developers.google.com/accounts/docs/OpenID。我跳过了第 2 步，因为它似乎是一个可选步骤。在第 3 步中讨论了 openid_id 字段，我希望首先将其作为概念验证。

我们在 Google 上注册了该应用程序以创建客户端 ID 等。现在 Google 开发控制台中还列出了许多允许的重定向 url 以及 javascript 来源。让我知道这些是否会破坏系统，我会在此处发布以供审核。

旁注：我们应该将我们的应用程序移动到一个严格的防火墙环境之后，我们需要打开端口才能在服务器端执行此操作。因此，访问 Google 的客户端 Javascript 解决方案与 HTTPS 相结合并将结果重定向到服务器将是首选（除非有其他反对这一点的问题）。

关于这个问题还有其他关于 SO 的资源，尽管所有这些资源似乎都在服务器端使用不同的库来完成这项工作，而且似乎没有人尝试过使用 Javascript：

• 这里 (https://stackoverflow.com/questions/22842475/migrating-google-openid-to-openid-connect-openid-id-does-not-match) 我认为通过将领域设置为与旧 OpenId2.0 流程中的相同来解决问题。这在我的情况下似乎不起作用。
• 在here 上，openid_id 字段也丢失了，但这里的问题更多是关于如何使用 DotNetOpenAuth 以外的库从 Google 请求 id_token。
• 在here 中似乎有类似的问题让 Google 返回 openid_id 字段。

Answer 1

您可以使用 GoogleAuthentication owin 中间件。

app.UseGoogleAuthentication(new GoogleOAuth2AuthenticationOptions
{
    SignInAsAuthenticationType = signAs,
    AuthenticationType = "Google",
    ClientId = "xxx.apps.googleusercontent.com",
    ClientSecret = "xx",
    CallbackPath = PathString.FromUriComponent("/oauth2callback"),
    Provider = new GoogleOAuth2AuthenticationProvider
    {
        OnApplyRedirect = context =>
        {
            context.Response.Redirect(context.RedirectUri + "&openid.realm=https://mydomain.com/"); // DotNetOpenAuth by default add a trailing slash, it must be exactly the same as before
        }
    },
    BackchannelHttpHandler = new MyWebRequestHandler()
}

然后，添加一个名为 MyWebRequestHandler 的新类：

public class MyWebRequestHandler : WebRequestHandler
    {
        protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
        {
            var httpResponse = await base.SendAsync(request, cancellationToken);
            if (request.RequestUri == new Uri("https://www.googleapis.com/plus/v1/people/me")) return httpResponse;

            var configuration = await OpenIdConnectConfigurationRetriever.GetAsync("https://accounts.google.com/.well-known/openid-configuration", cancellationToken); // read the configuration to get the signing tokens (todo should be cached or hard coded)

            // google is unclear as the openid_id is not in the access_token but in the id_token
            // as the middleware dot not expose the id_token we need to parse it again
            var jwt = httpResponse.Content.ReadAsStringAsync().Result;
            JObject response = JObject.Parse(jwt);
            string idToken = response.Value<string>((object)"id_token"); 

            JwtSecurityTokenHandler tokenHandler = new JwtSecurityTokenHandler();

            try
            {
                SecurityToken token;
                var claims = tokenHandler.ValidateToken(idToken, new TokenValidationParameters()
                {
                    ValidAudience = "xxx.apps.googleusercontent.com",
                    ValidIssuer = "accounts.google.com",
                    IssuerSigningTokens = configuration.SigningTokens
                }, out token);

                var claim = claims.FindFirst("openid_id");
                // claim.Value will contain the old openid identifier
                if (claim != null) Debug.WriteLine(claim.Value);
            }
            catch (Exception ex)
            {
                Debug.WriteLine(ex.ToString());
            }
            return httpResponse;
        }
    }

如果你像我一样发现这不是很简单，请通过支持这个问题https://katanaproject.codeplex.com/workitem/359来提供帮助