作者： | 来源：互联网 | 2023-09-06 19:21
Ocelot之结合IdentityServer4认证一前言上章节介绍了Ocelot之基于Polly熔断，这节介绍.NETCore平台下Ocelot之结合IdentityServer
Ocelot之结合IdentityServer4认证一
前言上章节介绍了Ocelot之基于Polly熔断，这节介绍.NET Core平台下Ocelot之结合IdentityServer4认证。
环境Win10+VS2022 +.NET5.0 + Ocelot17.0.0.0 + Consul 1.6.1.1+IDS4
1
OAuth2.0(协议)
系统从而产生一个短期的进入令牌，用来代替密码，供第三方应用使用。
规范了下授权的流程,五种模式:
l 客户端凭证(client credentials)
l 密码式(password)
l 隐藏式(implicit)
l 授权码(authorization-code)
l 混合式(Hybrid)
2
IdentityServer4IdentityServer4 是一个 OpenID Connect 和 OAuth 2.0 框架用于 ASP.NET Core 。IdentityServer4 在你的应用程序中集成了基于令牌认证、单点登录、API访问控制所需的所有协议和扩展点。
3
项目实现在上节“Ocelot之基于Polly熔断”的项目实现上继续改造。
3.1 创建IDS4项目
1. 创建项目
dotnet CLI快速安装模板Identityserver模板
dotnet new -i IdentityServer4.Templates
|
创建IdentityServery 项目
dotnet new is4empty -n IdentityServer_ResourceOwnerPasswordCredentials
|
2.引用IdentityServer4依赖
3.修改端口
在Properties\launchSettings.json文件中更改它。
这里修改为：
"applicationUrl": "https://localhost:5001;http://localhost:5000"
|
4.定义API接口的活动范围API Scope
API 是系统中要保护的资源。资源定义可以通过多种方式加载。模板已经创建了 Config.cs。打开它，将代码更新为如下所示：
public static IEnumerable ApiScopes => new ApiScope[] { new ApiScope("api1", "My API")};
|
5.添加用户
就像基于内存存储的资源（即范围 Scopes）和客户端一样，对于用户也可以这样做。
TestUser类型表示一个测试用户及其身份信息。 Config.cs文件中添加以下代码以创建用户：
public static List GetUsers() { return new List { new TestUser { SubjectId = "1", Username = "alice", Password = "password" }, new TestUser { SubjectId = "2", Username = "bob", Password = "password" }, new TestUser { SubjectId = "3", Username = "yak", Password = "yakpassword" } }; }
|
6.配置身份服务器
在Startup文件中配置身份服务器，加载资源和客户端，然后将测试用户注册到 IdentityServer中。代码如下：
public void ConfigureServices(IServiceCollection services) { var builder = services.AddIdentityServer() .AddInMemoryIdentityResources(Config.GetIdentityResources()) .AddInMemoryApiScopes(Config.ApiScopes) .AddInMemoryClients(Config.GetClients()) .AddTestUsers(Config.GetUsers()); builder.AddDeveloperSigningCredential(); }
|
AddTestUsers扩展方法在背后做了以下几件事：
(1)为资源所有者密码授权添加支持
(2)添加对用户相关服务的支持，这服务通常为登录 UI 所使用
(3)为基于测试用户的身份信息服务添加支持
7.添加客户端定义
可以通过修改AllowedGrantTypes属性简单地添加对已有客户端授权类型的支持。
通常要为资源所有者用例创建独立的客户端，添加以下代码到你配置中的客户端定义中
public static IEnumerable GetClients() { return new List { // resource owner password grant client new Client { ClientId = "yakclient", AllowedGrantTypes = GrantTypes.ResourceOwnerPassword, ClientSecrets = { new Secret("yaksecret".Sha256()) }, AllowedScopes = { "api1", IdentityServerConstants.StandardScopes.OpenId, IdentityServerConstants.StandardScopes.Profile }//需要额外添加 } }; }
|
3.2 修改接口服务
1. 在接口控制器上添加认证特性。
[Authorize] [ApiController] [Route("[controller]")] public class WeatherForecastController : ControllerBase ............
|
2. 添加Microsoft.AspNetCore.Authentication.JwtBearer依赖
添加依赖后，Yak.Ocelot.Api项目文件下添加了下面代码。
2. 修改Startup文件，添加认证代码。
public void ConfigureServices(IServiceCollection services) { // IdentityServer // 注册认证相关组件和配置defaultScheme为Bearer services.AddAuthentication("Bearer") .AddJwtBearer("Bearer", optiOns=> { options.Authority = "http://localhost:8000"; // 在验证token时，不验证Audience options.TokenValidatiOnParameters= new TokenValidationParameters { ValidateAudience = false }; options.RequireHttpsMetadata = false; // 不适用Https }); services.AddAuthorization(optiOns=> { options.AddPolicy("api1Scope", policy => { policy.RequireAuthenticatedUser(); policy.RequireClaim("scope", "Yak.Ocelot.Api"); }); }); services.AddSingleton(Configuration.GetSection("Consul").Get()); services.AddControllers(); } public void Configure(IApplicationBuilder app, IWebHostEnvironment env, IHostApplicationLifetime lifetime, ConsulOption consulOption) { if (env.IsDevelopment()) { app.UseDeveloperExceptionPage(); } // 注册 app.RegisterConsul(lifetime, consulOption); app.UseRouting(); app.UseAuthentication();//先鉴权,没有鉴权,授权是没有意义的 app.UseAuthorization();//后授权 app.UseEndpoints(endpoints => { endpoints.MapControllers(); }); }
|
3.3 启动Consul
这里是Win10系统，下载相应的Consul后，在文件夹下创建启动BAT文件用于启动Consul，双击启动。
3.4 服务发现
启动“Yak.Ocelot.Api”项目，查看到服务已经注册到Consul中。
3.5 调试
1. 启动网关服务
运行网关项目“Yak.Ocelot.Gateway”。
2. 启动接口服务
运行网关项目“Yak.Ocelot.Api”，通过接口自己的端口http://localhost:6000/Weather访问WebAPI天气接口服务。没有授权，返回码401。
3. 取Token
访问IDS4服务获取Token，地址：http://localhost:8000/connect/token
参数：
grant_type:password
client_id:yakclient
client_secret:yaksecret
username:yak
password:yakpassword
4. 通过网关访问接口服务
通过网关地址http://localhost:5000/Weather
访问WebAPI天气接口服务，返回401未认证。
添加Token认证后访问
4
总结这节例子介绍了接口服务结合IDS4提供了认证，网关仅仅提供了路由。后面介绍网关结合IDS4提供认证。
5
鸣谢https://www.cnblogs.com/zhangnever/p/13198176.html
https://www.cnblogs.com/Zhang-Xiang/p/10437488.html
6
源码https://github.com/yandaniugithub/NETCore
京公网安备 11010802041100号