asp.net-core - IdentityServer4 处理多个 facebook AppId 进行租赁

Question

我们正在向 IdentityServer4 ( https://github.com/IdentityServer/IdentityServer4 ) 实现添加租赁。到目前为止一切都很好。 AspIdentity 根据请求上的主机名向用户名附加前缀，即。 sso.domain1.com 和 sso.domain2.com 在身份数据库中创建租赁。 google 的外部 oauth 工作正常，并且 google 的 API 控制台允许多个网站访问相同的 AppId。另一方面，Facebook 只允许每个 AppId 一个域。外部提供程序在应用程序启动期间注册，因此这会带来一个问题，因为我们需要根据主机名确定每个请求使用的正确 Facebook AppId。

对于处理这种情况的适当方法有什么建议吗？我尝试在启动时注册所有 Facebook AppId，并让登录页面 UI 确定要显示哪个 Facebook 按钮。 IdentityServer 抛出了一个异常，因为它不允许多个提供者具有相同的方案名称。

管道中是否有某个地方我们可以重载以传入请求主机并更改每个请求的外部提供程序 AppId？

更新1:

根据 McGuireV10 的回答，我能够更接近目标。现在的问题是，如果我可以设置 ClientId 和 ClientSecret 选项属性，但这不会更改为 RequestUri 属性生成的 Uri。我应该以不同的方式进行操作还是需要重建上下文以便重新生成 RedirectUri？我一直在尝试浏览微软的安全源代码，但还没有找到这个。有想法吗？

services.AddAuthentication().AddFacebook(externalAuthentication.Name, options => {
                options.SignInScheme = externalAuthentication.SignInScheme;
                options.ClientId = externalAuthentication.DefaultClientId;
                options.ClientSecret = externalAuthentication.DefaultClientSecret;
                options.RemoteAuthenticationTimeout = TimeSpan.FromMinutes(5);
                options.Events = new Microsoft.AspNetCore.Authentication.OAuth.OAuthEvents {
                    OnRedirectToAuthorizationEndpoint = context => {
                        var tenancySetting = GetExternalAuthProviderForRequest(context.Request, externalAuthentication);
                        if (tenancySetting != null) {
                            context.Options.ClientId = tenancySetting.ClientId;
                            context.Options.ClientSecret = tenancySetting.ClientSecret;
                        }

                        context.RedirectUri = BuildChallengeUrl(context);
                        context.HttpContext.Response.Redirect(context.RedirectUri);
                        return Task.FromResult(0);
                    }
                };
            });

更新2:

现在正在运行。我确信一定有更好的方法来做到这一点，但我现在采取了简单的方法。我获取了 Microsoft 的源代码 ( https://github.com/aspnet/Security )，查看后我非常确定在进入 RedirectToAuthorizationEndpoint 事件之前，会在管道中调用 HandleChallengeAsync 方法 (Microsoft.AspNetCore.Authentication.OAuth.OAuthHandler)。 HandleChallegeAsync 负责在上下文上构建 RedirectUri 属性。 Microsoft 的代码中似乎没有现有的方法来重建 RedirectUri，因此我复制了他们的 BuildChallegeUrl 代码并使用它来重建 RedirectUri。我更新了示例代码以反射(reflect)此更改。

Answer 1

尝试添加 OpenIdConnectEvents OnRedirectToIdentityProvider 事件的处理程序并替换其中的 ClientId 和 ClientSecret 属性，但我不知道这是否会以某种方式混淆 Identity Server 。我没有类似的用例，所以我自己没有尝试过这个特定的事情，但我拦截其他事件并更改协议(protocol)属性没有任何问题。我也不知道您是否仍然需要在 options 属性本身上设置 id 和 Secret，但这很容易测试。它看起来像这样:

services.AddAuthentication()
    .AddFacebook("Facebook", options =>
    {
        options.Events = new OpenIdConnectEvents
        {
            OnRedirectToIdentityProvider = context =>
            {
                context.ProtocolMessage.ClientId = "abc";
                context.ProtocolMessage.ClientSecret = "xyz";
                return Task.FromResult<object>(null);
            }
        };
        options.SignInScheme = IdentityServerConstants.ExternalCookieAuthenticationScheme;
        // you probably don't need these:
        options.ClientId = oauth2config["FacebookId"];
        options.ClientSecret = oauth2config["FacebookSecret"];
    });

显然，您需要一些更复杂且特定于实现的东西来实际找出客户端等。