c# - 由于 unauthorized_client 错误无法获取 token

Question

我正在撰写有关如何使用 Postman 从 IDS4 获取 token 的演示。

密码 token 请求取自IDS4's page .

[HttpGet("token")]
public IActionResult GetToken([FromHeader] string user, [FromHeader] string pass)
{
  string tokenEndpoint = "https://localhost:44300/connect/token";
  HttpClient client = new HttpClient();

  Task<TokenResponse> tokenResponse = 
    client.RequestPasswordTokenAsync(new PasswordTokenRequest
  {
    Address = tokenEndpoint,

    ClientId = "client",
    ClientSecret = "client_secret",
    Scope = "MemberApi.full",

    UserName = user,
    Password = pass
  });
  TokenResponse toko = tokenResponse.Result;

  if (toko.IsError)
    return Ok(toko.Error);
  return Ok(toko.AccessToken;
}

客户端设置如下。

private static IEnumerable<Client> GetClients => new[]
{
  ...
  new Client
  {
    ClientId = "client",
    ClientSecrets = { new Secret("client_secret".Sha256()) },
    ClientName = "Client",

    AllowedGrantTypes = GrantTypes.Implicit,
    AllowAccessTokensViaBrowser = true,

    RedirectUris = { "http://localhost:5000/security/credentials" },
    PostLogoutRedirectUris = { "http://localhost:5000/index.html" },
    AllowedCorsOrigins = { "http://localhost:5000", "https://localhost:44300" },

    AllowedScopes =
    {
      IdentityServerConstants.StandardScopes.OpenId,
      IdentityServerConstants.StandardScopes.Profile,
      IdentityServerConstants.StandardScopes.Email,
      "MemberApi",
      "MemberApi.full",
      "MemberApi.limited"
    }
  }
};

API资源设置如下。

private static IEnumerable<ApiResource> GetApis => new[]
{
  new ApiResource
  {
    Name = "MemberApi",
    DisplayName = "Members' API",
    ApiSecrets = {new Secret("MemberSecret".Sha256())},
    UserClaims = {JwtClaimTypes.Name, JwtClaimTypes.Email, JwtClaimTypes.Role},
    Scopes = {new Scope("MemberApi.full"), new Scope("MemberApi.limited")}
  }
};

据我所知，我遵循了文档中的建议。我也尝试与示例进行比较。尽管如此，我仍然卡在错误提示 unauthorized_client 上。我可以缺少什么？

Answer 1

此流程中不允许客户端请求:

AllowedGrantTypes = GrantTypes.Implicit

忘记 client.RequestPasswordTokenAsync。你不需要它，你不能使用它。在隐式流程 中，只有用户知道密码。这对客户来说是遥不可及的。

假设 IdentityServer 在一个域上运行:https://idp.mydomain.com并且客户端在其他地方运行:https://mvc.mydomain.com

当用户点击 mvc 客户端上的安全页面时，用户将路由到用户登录的 IdentityServer。用户在那里输入凭据，如果成功，用户将返回到客户端作为已知身份。

根据流程，客户端最终至少会得到一个访问 token 。此 token 很重要，因为它允许客户端代表用户 访问资源。它就像一张门票。

基于访问 token ，资源现在知道谁想要访问该资源。访问 token 有一个做出这种区分的声明，即“sub”声明。如果没有此声明，客户端将无法访问此流程中的资源。

在您的配置中，允许客户端访问“MemberApi”范围，但在实际访问资源之前需要用户同意。

---

如果您想从最简单的流程开始检索 token ，client credentials流。

那是根本没有用户的流程。客户端(如软件)可以使用 clientid + secret 登录。正确配置后，这将生成访问 token 。

现在客户端无需任何用户交互即可访问资源。由于没有用户，身份 token 不可用。缺少“子”声明。此流程不支持刷新 token ，它不需要它。客户端可以使用凭据请求新 token 。

---

如果你想知道如何refresh token作品，在hybrid flow用户登录，此外(如果配置了 scope=offline)返回刷新 token 。

由于访问 token 仅在短时间内有效(取决于过期时间)，因此必须获取新 token 。为此，应该使用刷新 token 。刷新 token 允许客户端请求新的访问 token ，而无需用户交互(离线访问)。

新的访问 token 会一直使用，直到它过期并且必须请求一个新的 token 。直到刷新 token 本身过期，但可以配置。

---

在implicit flow没有刷新 token ，但访问 token 确实会过期。所以你需要另一种方式来刷新 token 。为此，您可以使用类似 silent token renew 的东西实现。

有关术语，请阅读 documentation .

请注意各种流程。这完全取决于具体情况。有没有用户，是不是浏览器应用，有前台 channel ，后台 channel ，是否需要离线访问，客户端能不能保密？选择流程前需要考虑的事项。

选择流程后，您需要为客户端配置允许的授权。如果仅允许隐式授权类型，则使用客户端凭据的客户端无法访问资源。

IdentityServer 主要是关于配置客户端和资源。查看示例以了解不同的流程及其配置方式。