c# - 用户信息端点未找到 openid 范围

Question

我正在使用 AuthorizationCode 流程将我的 IdentityServer3 实现配置为新客户端应用程序(Salesforce 社区)的身份提供者。一切都按预期工作，直到客户端访问 userinfo 端点，此时发生以下错误:

ERROR IdentityServer3.Core.Validation.TokenValidator Checking for expected scope openid failed

和

ERROR IdentityServer3.Core.Endpoints.UserInfoEndpointController insufficient_scope

这显然让人相信客户端没有在授权请求中请求 openid 范围，而这在使用 OpenId Connect 时是必需的。但是，我可以确认客户端确实在授权请求中请求了 openid 的范围:

INFO  IdentityServer3.Core.Validation.AuthorizeRequestValidator Authorize request validation success
 {
  "ClientId": "{client_id}",
  "ClientName": "{client_name",
  "RedirectUri": "{redirect_uri}",
  "AllowedRedirectUris": [
    "{allowed_uri_which_matches_request}"
  ],
  "SubjectId": "{subject_id}",
  "ResponseType": "code",
  "ResponseMode": "query",
  "Flow": "AuthorizationCode",
  "RequestedScopes": "openid",
  "State": "{state_value}",
  "SessionId": "402a2356f0bd91a350dfd1f8779ea229",
  "Raw": {
    "response_type": "code",
    "client_id": "{client_id}",
    "redirect_uri": "{redirect_uri}",
    "scope": "openid",
    "state": "{state_value}"
  }
}

我还可以确认 openid 是我的客户端允许的范围，并且 openid 在 ScopeStore 中。

此外，当我查看数据库中生成的 token 时，它们都正确地具有 openid 范围。 userinfo 端点中的某些内容导致检查失败。

我对这个问题感到非常困惑，因为这个客户端的实现几乎完全是标准的并且开箱即用。如果有帮助，我可以提供所有三个请求的完整日志:授权、 token 和用户信息。

谢谢!

Answer 1

答案最终出现在 DefaultClaimsProvider 的自定义覆盖中，特别是在 GetAccessTokenClaimsAsync 方法中。该方法是手动组合声明列表以添加到 token ，并方便地忽略 openid 的范围声明。在没有这个声明的情况下，我们以前的实现是如何工作的超出了我的理解范围，但在将它添加回去之后，一切都运行顺利。