开源地址

Github：https://github.com/openiddict/openiddict-core (opens new window)

OpenIddict是一个开源的身份验证和授权框架，可用于.NET应用程序。它支持多种身份验证和授权协议，如OAuth2，OpenID Connect和JWT等。OpenIddict使开发人员可以轻松地为他们的应用程序添加身份验证和授权功能，同时还提供了可扩展性和自定义选项。

安装

要使用OpenIddict，您需要在.NET应用程序中安装NuGet包。可以使用Visual Studio的NuGet包管理器或通过命令行运行以下命令：

dotnet add package OpenIddict

身份验证

在OpenIddict中，身份验证是通过创建和验证JWT（JSON Web Tokens）来完成的。JWT是一种安全的、基于标准的方法，用于在不同的应用程序和系统之间传递信息。JWT可以包含有关用户身份和权限的信息，并使用数字签名保证其真实性和完整性。

配置OpenIddict

要开始使用OpenIddict进行身份验证，您需要首先配置OpenIddict选项。您可以在应用程序的启动类中添加以下代码：

services.AddOpenIddict()
    .AddCore(options =>
    {
        options.UseEntityFrameworkCore()
            .UseDbContext<ApplicationDbContext>();
    })
    .AddServer(options =>
    {
        options.AllowAuthorizationCodeFlow()
            .RequireClientSecret(false)
            .UseAspNetCore()
            .EnableTokenEndpoint("/connect/token")
            .EnableAuthorizationEndpoint("/connect/authorize")
            .EnableLogoutEndpoint("/connect/logout")
            .AllowRefreshTokenFlow()
            .AllowPasswordFlow();
    });

上述代码中，我们使用AddOpenIddict方法将OpenIddict服务添加到应用程序中。接下来，我们使用AddCore方法配置OpenIddict的核心选项，包括使用Entity Framework Core和DbContext。然后，我们使用AddServer方法配置OpenIddict的服务器选项，包括允许授权代码流、禁用客户端秘钥、启用令牌、授权和注销端点，以及允许刷新令牌和密码流。

创建JWT

创建JWT需要使用OpenIddict提供的JwtManager类。您可以使用以下代码创建JWT：

var token = await _jwtManager.CreateTokenAsync(user, new Claim[]
{
    new Claim(JwtRegisteredClaimNames.Sub, user.Id),
    new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
    new Claim(JwtRegisteredClaimNames.Iat, DateTimeOffset.UtcNow.ToUnixTimeSeconds().ToString(),
        ClaimValueTypes.Integer64)
});

上述代码中，我们使用CreateTokenAsync方法创建JWT。该方法需要传递用户对象和要包含在JWT中的声明列表。在此示例中，我们添加了Sub、Jti和Iat声明。

验证JWT

验证JWT需要使用OpenIddict提供的TokenValidationParameters类。您可以使用以下代码验证JWT：

var tokenValidationParameters = new TokenValidationParameters
{
    ValidIssuer = _configuration["Jwt:Issuer"],
    ValidAudience = _configuration["Jwt:Audience"],
    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Jwt:Key"])),
    ClockSkew = TimeSpan.Zero
};

var claimsPrincipal = _jwtManager.ValidateToken(token, tokenValidationParameters);

上述代码中，我们首先创建一个TokenValidationParameters对象，并指定JWT的签发者、受众和签名密钥。然后，我们使用ValidateToken方法验证JWT，并将其转换为ClaimsPrincipal对象。

授权

在OpenIddict中，授权是通过授权代码流或密码流完成的。授权代码流是指用户向应用程序授权访问某些资源，并在授权后返回一个授权代码，该代码可以交换为访问令牌。密码流是指用户向应用程序提供用户名和密码，并直接返回访问令牌。

配置OpenIddict

要开始使用OpenIddict进行授权，您需要首先配置OpenIddict选项。您可以在应用程序的启动类中添加以下代码：

services.AddOpenIddict()
    .AddCore(options =>
    {
        options.UseEntityFrameworkCore()
            .UseDbContext<ApplicationDbContext>();
    })
    .AddServer(options =>
    {
        options.AllowAuthorizationCodeFlow()
            .RequireClientSecret(false)
            .UseAspNetCore()
            .EnableTokenEndpoint("/connect/token")
            .EnableAuthorizationEndpoint("/connect/authorize")
            .EnableLogoutEndpoint("/connect/logout")
            .AllowRefreshTokenFlow()
            .AllowPasswordFlow();
    })
    .AddValidation(options =>
    {
        options.UseAspNetCore();
    });

上述代码中，我们添加了AddValidation方法来配置OpenIddict的验证选项。我们使用UseAspNetCore方法指定使用AspNetCore身份验证中间件来验证访问令牌。

授权代码流

授权代码流是通过授权码交换访问令牌来完成的。在OpenIddict中，我们可以使用AuthorizeAsync和ExchangeAsync方法来完成授权代码流。您可以使用以下代码：

// 生成授权URL
var authorizeRequest = new AuthorizeRequest
{
    ClientId = "client_id",
    RedirectUri = "https://example.com/callback",
    Scope = "openid profile email",
    ResponseType = "code",
    State = "state",
    Nonce = "nonce"
};

var authorizeUrl = await _interactionService.GenerateAuthorizationUriAsync(authorizeRequest);

// 处理授权回调
var authorizationContext = await _interactionService.GetAuthorizationContextAsync(returnUrl);

var authorizeResult = await _interactionService.HandleAuthorizationRequestAsync(authorizationContext, new AuthorizeRequest
{
    Code = "authorization_code",
    RedirectUri = "https://example.com/callback"
});

// 交换授权码获取访问令牌
var tokenResponse = await _tokenClient.RequestAuthorizationCodeTokenAsync(new AuthorizationCodeTokenRequest
{
    Address = disco.TokenEndpoint,
    ClientId = "client_id",
    ClientSecret = "client_secret",
    Code = authorizeResult.Code,
    RedirectUri = "https://example.com/callback"
});

上述代码中，我们首先使用GenerateAuthorizationUriAsync方法生成授权URL，然后在回调URL中使用HandleAuthorizationRequestAsync方法处理授权回调，最后使用RequestAuthorizationCodeTokenAsync方法交换授权码并获取访问令牌。

密码流

密码流是通过直接使用用户名和密码来获取访问令牌的。在OpenIddict中，我们可以使用TokenClient类来完成密码流。您可以使用以下代码：

var tokenResponse = await _tokenClient.RequestPasswordTokenAsync(new PasswordTokenRequest
{
    Address = disco.TokenEndpoint,
    ClientId = "client_id",
    ClientSecret = "client_secret",
    UserName = "username",
    Password = "password",
    Scope = "openid profile email"
});

上述代码中，我们使用RequestPasswordTokenAsync方法直接获取访问令牌。

结论

OpenIddict是一个强大的身份验证和授权框架，可用于.NET应用程序。它支持多种身份验证和授权协议，如OAuth2、OpenID Connect和JWT等。OpenIddict使开发人员可以轻松地为他们的应用程序添加身份验证和授权功能，并提供可扩展性和自定义选项。如果您正在开发.NET应用程序，并需要身份验证和授权功能，那么OpenIddict是一个非常不错的选择。