Asp.Net Core 中IdentityServer4 实战之 Claim详解

时间  2020-03-26
标签 asp.net asp core identityserver4 identityserver 实战 claim 详解 栏目 ASP 繁體版
原文   原文链接

1、前言

因为疫情缘由，让我开始了以博客的方式来学习和分享技术（持续分享的过程也是本身学习成长的过程），同时也让更多的初学者学习到相关知识，若是个人文章中有分析不到位的地方，还请你们多多指教；之后我会持续更新个人文章，望你们多多支持和关注。
上几篇文章主要分享了IdentityServer4在Asp.Net Core 3.x 中的应用，在上面的几篇分享中有一部分博友问了我这么一个问题"他经过IdentityServer4 来搭建受权中心网关服务，怎么才能在访问受保护的Api资源中获取到用户的相关的身份信息呢？"。
那这篇文章主要来分享认证过程当中的一个重要组成部分Claim，在开始以前强烈建议还没看过我写的 IdentityServer4 系列文章的同窗先看一下，下面几篇文章中以架构思惟带你们进入IdentityServer4 的世界html

2、Claim 是什么

Claim

Claim 个人理解是一个声明，存储着一个键值对的关系，就至关于身份证中的 姓名：特朗普 , 性别：男等等身份证的系列元素，每个项都是一个键值，咱们看看Claim主要代码git

public class Claim
{
    public string ClaimType { get; set; }

    public string ClaimValue { get; set; }
}

代码中主要核心两个属性 ClaimType 和ClaimValue；ClaimType 就是Key，ClaimValue就表明一个Value。这样的话，恰好能够存储一个键值对。这时候姓名：特朗普是否是就能够存进去了。
同时微软也提供了默认的ClaimType，部分默认的以下图:

Claim 差很少已经介绍完毕，相对比较简单清晰，Claim能够说是身份的最小单元的声明(身份单元)。github

ClaimsIdentity

咱们先来看看ClaimsIdentity的部分代码，代码以下：数据库

public class ClaimsIdentity:IIdentity
{
    public ClaimsIdentity(IEnumerable<Claim> claims){}
    
    //名字这么重要，固然不能让别人随便改啊，因此我不准 set，除了我儿子跟我姓，因此是 virtual 的
    public virtual string Name { get; }
    public string Label { get; set; }
    
    //身份单元集合
    public virtual IEnumerable<Claim> Claims { get; }
    
    //这是个人证件类型，也很重要，一样不准 set
    public virtual string AuthenticationType { get; }
    
    public virtual void AddClaim(Claim claim);
    
    public virtual void RemoveClaim(Claim claim);
    
    public virtual void FindClaim(Claim claim);
}

从代码中能够看到有一个Claims 属性，是一个集合,看到这里是否是能够把咱们的身份证给联想进去呢？咱们每一个人都有一个“身份证”（ClaimIdentity）,身份证中包含了多个“身份单元”（Claim）等信息。
从代码中还有一个特别重要的属性AuthenticationType 翻译成认证类型，这里也就至关于证件类型，好比身份证，它的证件类型就是"身份证"，护照证机的证机类型就是"护照"。
同时ClaimsIdentity继承了IIdentity抽象接口，咱们再来看看这个抽象接口的代码：api

// 定义证件对象的基本功能。
public interface IIdentity
{
    //证件名称
    string Name { get; }
    
    // 用于标识证件的载体类型。
    string AuthenticationType { get; }
    
    //是不是合法的证件。
    bool IsAuthenticated { get; }
}

到这里ClaimsIdentity介绍的差很少了，ClaimsIdentity就至关因而身份证、或者护照之类的东西，一个可以证实身份的证件。服务器

ClaimsPrincipal

一我的有了身份，就会有多重身份，好比你便是司机、校长、公司老板等等，那你就会有驾驶证、教师证、公司的营业执照等证件。那这些证件须要一个载体去容纳，那ClaimsPrincipal这个就至关因而这些证件的载体，咱们来看看它的部分核心代码：微信

public class ClaimsPrincipal : IPrincipal
    {
       
        public ClaimsPrincipal();
       
        public ClaimsPrincipal(IEnumerable<ClaimsIdentity> identities);
        
        public ClaimsPrincipal(IIdentity identity);
        
        public ClaimsPrincipal(IPrincipal principal);
      
        public virtual IIdentity Identity { get; }
       
        public virtual IEnumerable<ClaimsIdentity> Identities { get; }
        
        //把证件添加到载体中
        public virtual void AddIdentities(IEnumerable<ClaimsIdentity> identities);
        //把证件添加到载体中
        public virtual void AddIdentity(ClaimsIdentity identity);
        
        //如下都是从载体中获取证件等操做
        public virtual IEnumerable<Claim> FindAll(Predicate<Claim> match);
      
        public virtual IEnumerable<Claim> FindAll(string type);
        
        public virtual Claim FindFirst(string type);
       
        public virtual Claim FindFirst(Predicate<Claim> match);
        
        public virtual bool HasClaim(Predicate<Claim> match);

        //是否属于某个角色
        public virtual bool IsInRole(string role);
    }

ClaimsPrincipal 介绍完了，我这里把ClaimsPrincipal 它叫证件的容器载体
咱们已经知道了 “身份单元（Claims）” ， “身份证（ClaimsIdentity）” ， “证件容器载体（ClaimsPrincipal)”这三者的关系。
咱们简单的来看下身份认证携带信息的简化的流程图：

好了，这里Claim相关概念理清楚了，这里也须要感谢下 微软MVP大佬@Savorboard 的文章https://www.cnblogs.com/savorboard/p/aspnetcore-identity.html 让我理清楚了这些关系！架构

3、实战

我这里继续我上几篇文章的代码基础上编写，须要代码的能够访问 https://github.com/a312586670/IdentityServerDemo 代码会跟着博客同步更新。
上几篇文章中解决方案中已经建立了以下三个项目：
async

  • Jlion.NetCore.Identity :Identity公共基础类库
  • Jlion.NetCore.Identity.Service : Ids4受权服务，也是上几篇文章中说的受权中心服务简单版本
  • Jlion.NetCore.Identity.UserApiService :用户业务网关（受保护的资源）

受权中心(Ids4受权服务)

Jlion.NetCore.Identity.Service

咱们先在受权中心（ids4）服务中验证用户的代码中添加用户的相关Claims,核心代码以下：
不熟悉的请先移步
Asp.Net Core 中IdentityServer4 受权中心之应用实战 这篇文章ide

public class ResourceOwnerPasswordValidator : IResourceOwnerPasswordValidator
 {
        public async Task ValidateAsync(ResourceOwnerPasswordValidationContext context)
        {
            try
            {
                var userName = context.UserName;
                var password = context.Password;

                //验证用户,这么能够到数据库里面验证用户名和密码是否正确
                var claimList = await ValidateUserAsync(userName, password);

                // 验证帐号
                context.Result = new GrantValidationResult
                (
                    subject: userName,
                    authenticationMethod: "custom",
                    claims: claimList.ToArray()
                );
            }
            catch (Exception ex)
            {
                //验证异常结果
                context.Result = new GrantValidationResult()
                {
                    IsError = true,
                    Error = ex.Message
                };
            }
        }

        #region Private Method
        /// <summary>
        /// 验证用户
        /// </summary>
        /// <param name="loginName"></param>
        /// <param name="password"></param>
        /// <returns></returns>
        private async Task<List<Claim>> ValidateUserAsync(string loginName, string password)
        {
            //TODO 这里能够经过用户名和密码到数据库中去验证是否存在，
            // 以及角色相关信息，我这里仍是使用内存中已经存在的用户和密码
            var user = OAuthMemoryData.GetTestUsers();

            if (user == null)
                throw new Exception("登陆失败，用户名和密码不正确");
            //我这里为了测试，简单的硬编码，生产环境能够经过数据库中读取到相关信息构造`Claim`(**身份单元**)
            return new List<Claim>()
            {
                new Claim(ClaimTypes.Name, $"{loginName}"),
                new Claim(EnumUserClaim.DisplayName.ToString(),"测试用户"),
                new Claim(EnumUserClaim.UserId.ToString(),"10001"),
                new Claim(EnumUserClaim.MerchantId.ToString(),"000100001"),
            };
        }
        #endregion
    }

如今，多个Claim已经构建完成，多个Claim构建出了一个用户身份，它们都属于即将登陆的用户所拥有的身份单元，接下来咱们还须要实现IProfileService抽象接口，
代码以下：

public class UserProfileService : IProfileService
{
        /// <summary>
        /// 
        /// </summary>
        /// <param name="context"></param>
        /// <returns></returns>
        public async Task GetProfileDataAsync(ProfileDataRequestContext context)
        {
            try
            {
                
                var claims = context.Subject.Claims.ToList(); 
                // 把认证经过的用户身份
                context.IssuedClaims = claims.ToList();
            }
            catch { }
        }

        /// <summary>
        /// 
        /// </summary>
        /// <param name="context"></param>
        /// <returns></returns>
        public async Task IsActiveAsync(IsActiveContext context)
        {
            context.IsActive = true;
        }
    }

GetProfileDataAsync主要为用户加载Claims,实现该代码而且经过AddProfileService<T>()方法添加到DI中，才能在API资源中获取到用户的身份信息，代码以下：

public void ConfigureServices(IServiceCollection services)
  {
      services.AddControllers();

      
      #region 数据库存储方式
      services.AddIdentityServer()
          .AddDeveloperSigningCredential()
          .AddInMemoryApiResources(OAuthMemoryData.GetApiResources())
          //.AddInMemoryClients(OAuthMemoryData.GetClients())
          .AddClientStore<ClientStore>()
          .AddResourceOwnerValidator<ResourceOwnerPasswordValidator>()
          .AddExtensionGrantValidator<WeiXinOpenGrantValidator>()//添加微信端自定义方式的验证(上篇自定义受权方式的代码)
          .AddProfileService<UserProfileService>();

      #endregion

  }

Api资源（受保护的资源）

Jlion.NetCore.Identity.UserApiService

咱们先来建立UserIdentityExtension扩展类，代码以下：

public static class UserIdentityExtension
 {
        /// <summary>
        /// 得到用户的Name
        /// </summary>
        /// <param name="this"></param>
        /// <returns></returns>
        public static string Name(this ClaimsPrincipal @this)
        {
            return @this?.Identity?.Name;
        }

        /// <summary>
        /// 得到DisplayName
        /// </summary>
        /// <param name="this"></param>
        /// <returns></returns>
        public static string DisplayName(this ClaimsPrincipal @this)
        {
            var value = @this?.Claims?.FirstOrDefault(oo => oo.Type == EnumUserClaim.DisplayName.ToString())?.Value;
            return value;
        }

        public static string UserId(this ClaimsPrincipal @this)
        {
            return @this?.Claims?.FirstOrDefault(oo => oo.Type == EnumUserClaim.UserId.ToString())?.Value;
        }

        public static string MerchantId(this ClaimsPrincipal @this)
        {
            return @this?.Claims?.FirstOrDefault(oo => oo.Type == EnumUserClaim.MerchantId.ToString())?.Value;
        }
 }

再在原来的代码基础上新增UserController控制器，代码以下：

[Authorize]
[ApiController]
[Route("[controller]")]
public class UserController : ControllerBase
{

    private readonly ILogger<UserController> _logger;

    public UserController(ILogger<UserController> logger)
    {
        _logger = logger;
    }
 }

UserController控制器已经建立完了，继承了ControllerBase基类，咱们来看看ControllerBase包含了哪些信息，核心的代码以下：

/// <summary>
/// A base class for an MVC controller without view support.
/// </summary>
[Controller]
public abstract class ControllerBase
{
     //经过请求上下文中得到User（证件载体容器）
     public ClaimsPrincipal User => HttpContext?.User;

    //其余核心代码没有贴出来，具体的能够看官方源代码
}

看了源代码，咱们是否是能够考虑使用User来获取身份证件中的某些身份元件呢？，在UserController添加获取用户信息的接口，完整代码以下：

[Authorize]
[ApiController]
[Route("[controller]")]
public class UserController : ControllerBase
{

  private readonly ILogger<UserController> _logger;

  public UserController(ILogger<UserController> logger)
  {
      _logger = logger;
  }

  
  [HttpGet]
  public async Task<object> Get()
  {
     //经过ClaimsPrincipal（证件容器载体）得到某些证件的身份元件
     var userId = User.UserId();
     return new
     {
          name = User.Name(),
          userId = userId,
          displayName = User.DisplayName(),
          merchantId = User.MerchantId(),
     };
  }
}

好了，代码已经构建完成！！！
如今我把两个服务经过命令行启动起来.
Jlion.NetCore.Identity.Service启动以下图：

我这里仍是以"http://localhost:5000" 地址启动
Jlion.NetCore.Identity.UserApiService 启动以下图：

这里以"http://localhost:5001"地址启动

如今咱们经过postman 访问ids4服务器得到accesstoken 以下图：

获取access_token 成功,我再携带access_token访问 用户业务网关，以下图：

成功获取到用户身份信息 Claims相关信息。

结论：ids4受权服务中构建用户身份信息(Claim)经过身份容器载体ClaimsPrincipal载入（具体载入到哪里？是怎么携带到Api资源网关中的？下篇文章再来分享具体的原理和流程）；再通过受保护的Api资源网关中经过ClaimsPrincipal身份容器载体得到当前用户的相关信息后就能够作一些基于角色受权及业务相关的事情。

博客系列文章源代码地址：https://github.com/a312586670/IdentityServerDemo
参考文章：
https://www.cnblogs.com/savorboard/p/aspnetcore-identity.html

相关文章
相关标签/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公众号
   欢迎关注本站公众号,获取更多信息
联系我们 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程