与 IdentityServer 的域逻辑分离

Question

我们有具有角色成员资格的 MVC 应用程序和用于 SSO 的 IdentityServer，两者都是独立的应用程序。我们的应用程序中有两个角色——Admin 和 RegularUser。它们每个都有一组特定的属性，例如：

public class Admin
{
    public string Area { get; set; }

    public int Code { get; set;}
}

public class RegularUser
{
    public string SkypeId { get; set; }

    public string HomeAddress { get; set; }
}

根据IdentityServer template，我们应该使用单个 ApplicationUser 类来存储所有配置文件数据。跨多个应用程序存储特定于组织角色的数据的最佳实践是什么？我的想法是将配置文件存储（ApplicationUser，在 IdentityServer 范围内）与域实体（Admin 和 RegularUser，在 MVC 应用程序范围内）分开，并用一个键将它们链接在一起：

public class Admin
{
    public string ApplicationUserId { get; set; }

    public string Area { get; set; }

    public int Code { get; set;}
}

public class RegularUser
{
    public string ApplicationUserId { get; set; }

    public string SkypeId { get; set; }

    public string HomeAddress { get; set; }
}

当我们在成功登录到 MVC 应用程序后从 SSO 重定向时，我们可以像这样在控制器中获取 Admin 或 RegularUser：

[Authorize]
public async Task<IActionResult> SomeAction()
{
    string userId = _userManager.GetUserId(User);

    if (User.IsInRole("Admin"))
    {
        Admin admin = await _adminRepository.GetByApplicationUserId(userId);
        /* logic for admin */
    }

    if (User.IsInRole("RegularUser"))
    {
        RegularUser regularUser = await _regularUserRepository.GetByApplicationUserId(userId);
        /* logic for regularUser */
    }

    ...
}

Answer 1

您也可以使用 IdentityServer 进行授权。

1. 为每个应用程序定义一个 IdentityResource 并为其定义一些 UserClaimTypes。

   new IdentityResource("app1_permissions", new string[] { "permission_in_app1" });

2. 用用户在 app1 中的权限填写 permission_in_app1 声明。

   new Claim("permission_in_app1","[read1,write2]")

3. 在您的客户端中，当您重定向用户时，向 IdentityServer 请求 app1_permissions 范围。

   scope: app1_permissions openid profile

每个用户都有一个声明集合，其中 user1 具有与 user2 不同的信息。

声明是发行人对某个主题的声明。声明表示在身份验证和授权操作的上下文中有用的主题属性。

使用基于声明的身份，我们可以存储有关每个用户的不同信息。

Claim Class