c# - 如何使用自定义用户服务向 identityserver3 的访问 token 添加声明

Question

我正在尝试创建自定义用户，对其进行身份验证，然后使用身份服务器 3 将用户声明返回到角度应用程序中。我查看了示例，特别是 CustomUserService 项目。

编辑我已根据进度将问题更新为:

在 starup.cs 文件中，我有作用域和客户端加载

var idServerServiceFactory = new IdentityServerServiceFactory()
                    .UseInMemoryClients(Clients.Get())
                    .UseInMemoryScopes(Scopes.Get());
                   //.UseInMemoryUsers(Users.Get());

然后在 UserServices.cs 中覆盖

public override Task AuthenticateLocalAsync(LocalAuthenticationContext context)
        {
            string hashedPassword = string.Empty;
        string salt = string.Empty;

        //pull users 
        using (IdentityModelContext ctx = new IdentityModelContext())
        {
            IIdSrvUserRepository ur = new IdSrvUserRepository(ctx);
            Users = ur.GetAll().ToList();
           }
        //salt curent password        
        var user = Users.SingleOrDefault(x => x.UserName == context.UserName);
        if (user != null)
        {
            salt = user.Salt;
            hashedPassword = IqUtils.GenerateSaltedPassword(context.Password, salt);
            if (user.UserName == context.UserName && hashedPassword == user.Password)
            {
                try
                {
                    context.AuthenticateResult = new AuthenticateResult(user.Subject, user.UserName);
                }
                catch (Exception ex)
                {
                    string msg = $"<-- Login Error: Message: {ex.Message}, Inner Exception:{ex.InnerException} --->";
                    myLogger log = new myLogger("IdentityServer");
                }
            }          
        }
        return Task.FromResult(0);
    }

我遇到问题的地方是 GetProfileDataAsync 方法。我不知道如何向客户端添加声明，或者我是否需要调用第二个客户端。

该应用程序是一个向 Idsrv 进行身份验证的角度客户端。我创建了一个客户端

//Angular client authentication
                new Client 
                {
                    ClientId = "iqimplicit",
                    ClientName = "IQ Application (Implicit)",
                    Flow = Flows.Implicit, 
                    AllowAccessToAllScopes = true,
                    IdentityTokenLifetime = 300,//default value is 5 minutes this is the token that allows a user to login should only be used once
                    AccessTokenLifetime = 3600, // default is one hour access token is used for securing routes and access to api in IQ
                    RequireConsent = false,
                    RequireSignOutPrompt = true,
                    AllowedScopes = new List<string>
                    {
                       //no clue if this is correct
                        StandardScopes.Profile.Name

                    },
                    RedirectUris = new List<string>

                    { 
                        angularClient + "callback.html"
                    },  
                PostLogoutRedirectUris = new List<string>()
                {
                    //redirect to login screen
                    angularClient 
                }
                }

在 SO posting here 之后我试图将声明添加到返回给客户端的访问 token 中。

我定义的范围只是针对资源。我假设我需要为身份创建一个类似于注释掉的部分？

            return new List<Scope>
                { 
                    StandardScopes.OpenId,
                    StandardScopes.ProfileAlwaysInclude,
                    StandardScopes.Address,  

                    new Scope
                    { 
                        Name = "appmanagement",
                        DisplayName = "App Management",
                        Description = "Allow application to management.",
                        Type = ScopeType.Resource,
                        Claims = new List<ScopeClaim>()
                        {
                            new ScopeClaim("role", false),
                            new ScopeClaim("Name", true),
                            new ScopeClaim("GivenName", true),
                            new ScopeClaim("FamilyName", true),
                            new ScopeClaim("Email", true),
                        },
                    },

                //    new Scope
                //    {
                //        Name = "iquser",
                //        DisplayName = "User",
                //        Description = "Identifies the user",
                //        Type = ScopeType.Identity,
                //        Claims = new List<ScopeClaim>()
                //        {
                //            new ScopeClaim("Name", true)
                //        }
                //    }
                };
        }
    }
}

我想作为声明传回的信息如上所示，(姓名、名字、姓氏电子邮件)。

尝试遵循前面提到的 SO 帖子的评论，我覆盖了应该为用户获取信息的 GetProfileDataAsync。

  public override Task GetProfileDataAsync(ProfileDataRequestContext context)
            {
                // issue the claims for the user
                var user = Users.SingleOrDefault(x => x.Subject == context.Subject.GetSubjectId());
                if (user != null)
                {
                    if(context.RequestedClaimTypes != null)
                        try
                        {
                            if (context.RequestedClaimTypes != null)
                            {
                                List<Claim> newclaims = new List<Claim>();
                                foreach (Claim claim in context.Subject.Claims)
                                {
                                    if (context.RequestedClaimTypes.Contains(claim.Type))
                                    {
                                        newclaims.Add(claim);
                                    }
                                }
                                context.IssuedClaims = newclaims;
                            }                        
                        }
                        catch (Exception ex)
                        {    
                            string msg = $"<-- Error Getting Profile: Message: {ex.Message}, Inner Exception:{ex.InnerException} --->";
                            myLogger log = new myLogger("IdentityServer");
                        }
                }
                //return Task.FromResult(context.IssuedClaims);
                return Task.FromResult(0);
            }
        }

这就是我卡住的地方 当我看到我在 context.RequestedClaimTypes 中定义的声明时 claim.Type 中从来没有匹配项，因为它始终包含idsrv 声明的基本属性。

因为这是一个自定义数据库，所有关于 claim 的信息都存储在数据库的用户表中，而不是 claim 表中。我试图将用户表中每个字段的值映射到 Claim 值。

更新我已经返回并从范围中取消注释并将以下声明添加到身份范围类型

new Scope
                    {
                        Name = "iuser",
                        DisplayName = "User",
                        Description = "Identifies the  user",
                        Type = ScopeType.Identity,
                        Claims = new List<ScopeClaim>()
                        {
                            new ScopeClaim(Constants.ClaimTypes.Name, alwaysInclude: true),
                            new ScopeClaim(Constants.ClaimTypes.GivenName, alwaysInclude: true),
                            new ScopeClaim(Constants.ClaimTypes.FamilyName, alwaysInclude: true),
                            new ScopeClaim(Constants.ClaimTypes.Email, alwaysInclude: true),
                        }
                    }

初始身份验证有效，在回调中我可以看到评估的范围。但是，我仍然坚持现在如何从应用于这些范围的数据库中获取值。这部分代码(如预期的那样)正在寻找 System.Security.Claims.Claim 类型。现在这是确定如何获取声明值的停止点，这些声明值是我的用户应用的属性并作为声明返回。

此时我被重定向回 Angular 应用程序，但 accesstoken 对象对于用户信息是空白的。

此时如何将我自己的值作为声明插入到 context.IssuedClaims 中？

提前致谢

Answer 1

关于您似乎正在尝试做的事情的一些评论。

1 您正在复制现有范围，即 profile 范围。

如果您想要的所有声明都在 OIDC 标准范围内(此处:profile/email)，则无需定义自己的范围 iuser )。您在 iuser 身份范围内声明的声明已包含在标准的 profile 范围内。因此，只需请求 profile 范围，并允许您的客户请求该范围。

标准范围，以及它们的声明内容是什么: http://openid.net/specs/openid-connect-core-1_0.html#StandardClaims

2 你客户端的AllowedScopes配置有点不对

请改用以下常量。

AllowedScopes = new List<string>
{
    Constants.StandardScopes.OpenId,
    Constants.StandardScopes.Profile,
    Constants.StandardScopes.Email,
}

另请参阅此示例配置。 https://github.com/IdentityServer/IdentityServer3.Samples/blob/master/source/_sharedConfiguration/Clients.cs

3 你还没有真正展示如何获取 id_tokens..

.. 但请记住向 idsrv 提供您想要返回 id_token 的请求，包括来自 profile 范围的声明。对 /authorize 、/userinfo 或 /token 端点的请求必须包含一个 scope 参数至少 openid 配置文件 的值。

例如，就像 Brock A. 在他的 oidc js 客户端库中所做的那样: https://github.com/IdentityServer/IdentityServer3.Samples/blob/master/source/Clients/JavaScriptImplicitClient/app.js#L18