asp.net - 使用 Identity Server 3，ClaimsPrinciple 即使在不记名 token 身份验证成功后仍为空

Question

我有一个测试控制台应用程序，我指向 Identity Server 3 的本地实例以请求访问 token 。以下代码执行此操作并返回我的 token (传递单个范围 "scope.test.client")。

    static TokenResponse GetClientToken(string clientId, string clientSecret, string[] scopes)
    {
        var uri = new Uri(string.Concat(ID_BASE_URI, ID_URL_TOKEN));

        var client = new TokenClient(
            uri.AbsoluteUri,
            clientId,
            clientSecret);

        return client.RequestClientCredentialsAsync(string.Join(" ", scopes)).Result;

然后我使用此 token 调用同样在本地运行的 API。这采用上面获得的 TokenResponse 并将其传递给此方法:

    static void CallApi(string url, TokenResponse response)
    {
        try
        {
            using (var client = new HttpClient())
            {
                client.SetBearerToken(response.AccessToken);
                Console.WriteLine(client.GetStringAsync(url).Result);
            }
        }
        catch (Exception x)
        {
            Console.WriteLine(string.Format("Exception: {0}", x.Message));
        }
    }

API(一个 ASP.NET WebApi 项目)使用 Owin Startup 类对所有请求强制执行不记名 token 身份验证:

        appBuilder.Map(baseApiUrl, inner =>
        {
            inner.UseWebApi(GlobalConfiguration.Configuration);

            // Enforce bearer token authentication for all API requests
            inner.UseIdentityServerBearerTokenAuthentication(new IdentityServerBearerTokenAuthenticationOptions
            {
                Authority = "https://identityserver/core",
                ValidationMode = ValidationMode.ValidationEndpoint,

                RequiredScopes = new[] { "scope.test.client" }
            });
        });

它还确保所有 API 请求都由自定义授权属性处理:

GlobalConfiguration.Configuration.Filters.Add(new DefaultApiAuthorizeAttribute());

调试此 API，我覆盖的 OnAuthorize 方法(在 DefaultApiAuthorizeAttribute 中)的第一行是这样的:

var caller = actionContext.RequestContext.Principal as System.Security.Claims.ClaimsPrincipal;

如果我在此行中断，我可以看到 actionContext.RequestContext.Principal 始终为 null。但是，我可以看到 ((System.Web.Http.Owin.OwinHttpRequestContext)actionContext.RequestContext).Request.Headers 包含一个授权 header ，其中包含从我的控制台应用程序传递的不记名 token 。

因此，API 项目似乎没有对不记名 token 进行身份验证。当然，Identity Server 日志表明它在发出初始访问 token 后根本没有被击中。因此，我非常感谢您就为什么不会发生这种情况提供专家建议，或者至少提供一些有关查找位置的指示。

我怀疑这可能与 SSL 有关。尽管 Identity Server 配置为不需要 SSL 并使用 idsrv3test.pfx 开发证书进行签名，但这两个站点都在本地托管在自签名 SSL 证书下。我有另一个测试 MVC 网络应用程序，它将身份验证委托(delegate)给在本地运行良好的同一个 IS3 实例，因此我相信我的 IS3 实例配置正确。

Answer 1

您需要先调用 UseIdentityServerBearerTokenAuthentication ，然后再调用 UseWebApi。设置 OWIN 中间件管道时，顺序很重要。

在您的情况下，Web API 将在请求发送到 Identity Server 之前处理您的请求(如果它们被发送的话)。