开源地址

Github：https://github.com/IdentityServer/IdentityServer4 (opens new window)

IdentityServer4 是一个用于 ASP.NET Core 的开源框架，它提供了身份验证和授权服务。IdentityServer4 基于 OAuth2 和 OpenID Connect 协议实现，它可以轻松地集成到你的应用程序中，并提供了各种身份验证和授权的功能。IdentityServer4 支持多种身份验证和授权方式，例如基于用户名和密码的身份验证、基于证书的身份验证、OAuth2 和 OpenID Connect 授权等等。

安装

在开始使用 IdentityServer4 之前，需要先安装它。安装 IdentityServer4 可以通过 NuGet 包管理器或命令行完成。在 Visual Studio 中，可以通过以下步骤安装 IdentityServer4：

1. 打开你的项目，右键点击项目名称，选择“Manage NuGet Packages...”。
2. 在 NuGet 程序包管理器中，搜索 IdentityServer4。
3. 选择 IdentityServer4 并安装。

如果你想通过命令行安装 IdentityServer4，可以通过以下命令完成：

Install-Package IdentityServer4

使用

配置

在使用 IdentityServer4 之前，需要进行一些配置。以下是一个示例：

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        services.AddIdentityServer()
            .AddInMemoryApiResources(Config.GetApiResources())
            .AddInMemoryClients(Config.GetClients())
            .AddInMemoryIdentityResources(Config.GetIdentityResources())
            .AddTestUsers(Config.GetUsers());
    }

    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        app.UseIdentityServer();
    }
}

上面的代码中，我们首先在 ConfigureServices 方法中添加了 IdentityServer 服务，并配置了一些资源、客户端、身份资源和测试用户。在 Configure 方法中，我们使用 UseIdentityServer 中间件来启用 IdentityServer。

资源

IdentityServer4 支持多种资源，包括 API 资源、客户端和身份资源。以下是一个示例：

public static class Config
{
    public static IEnumerable<ApiResource> GetApiResources()
    {
        return new List<ApiResource>
        {
            new ApiResource("api1", "My API")
        };
    }

    public static IEnumerable<Client> GetClients()
    {
        return new List<Client>
        {
            new Client
            {
                ClientId = "client",
                AllowedGrantTypes = GrantTypes.ClientCredentials,
                ClientSecrets =
                {
                    new Secret("secret".Sha256())
                },
                AllowedScopes = { "api1" }
            }
        };
    }

    public static IEnumerable<IdentityResource> GetIdentityResources()
    {
        return new List<IdentityResource>
        {
            new IdentityResources.OpenId(),
            new IdentityResources.Profile(),
        };
    }

    public static List<TestUser> GetUsers()
    {
        return new List<TestUser>
        {
            new TestUser
            {
                SubjectId = "1",
                Username = "alice",
                Password = "password"
            },
            new TestUser
            {
                SubjectId = "2",
                Username = "bob",
                Password = "password"
            }
        };
    }
}

```csharp

上面的代码中，我们定义了一个 API 资源和一个客户端。客户端使用客户端凭证授权类型，并定义了一个密钥和一个作用域。我们还定义了身份资源和测试用户。身份资源是指可以从令牌中返回的标准声明，例如 OpenID 和个人资料声明。测试用户是一个用于测试目的的简单用户列表，它包含用户名、密码和主题 ID。

### 身份验证

身份验证是 IdentityServer4 的一个重要功能。IdentityServer4 支持多种身份验证方式，例如基于用户名和密码的身份验证、基于证书的身份验证等等。以下是一个基于用户名和密码的身份验证示例：

```csharp
public class AccountController : Controller
{
    private readonly UserManager<ApplicationUser> _userManager;
    private readonly SignInManager<ApplicationUser> _signInManager;

    public AccountController(
        UserManager<ApplicationUser> userManager,
        SignInManager<ApplicationUser> signInManager)
    {
        _userManager = userManager;
        _signInManager = signInManager;
    }

    [HttpGet]
    public IActionResult Login(string returnUrl = null)
    {
        ViewData["ReturnUrl"] = returnUrl;
        return View();
    }

    [HttpPost]
    public async Task<IActionResult> Login(LoginViewModel model, string returnUrl = null)
    {
        ViewData["ReturnUrl"] = returnUrl;
        if (ModelState.IsValid)
        {
            var result = await _signInManager.PasswordSignInAsync(model.Username, model.Password, model.RememberMe, lockoutOnFailure: false);
            if (result.Succeeded)
            {
                return RedirectToLocal(returnUrl);
            }
            if (result.RequiresTwoFactor)
            {
                return RedirectToAction(nameof(LoginWith2fa), new { returnUrl, model.RememberMe });
            }
            if (result.IsLockedOut)
            {
                return RedirectToAction(nameof(Lockout));
            }
            else
            {
                ModelState.AddModelError(string.Empty, "Invalid login attempt.");
                return View(model);
            }
        }
        return View(model);
    }
}

上面的代码中，我们定义了一个 AccountController 控制器，并在其中实现了一个基于用户名和密码的身份验证方法。该方法使用 UserManager 和 SignInManager 对象进行身份验证，并根据身份验证结果返回相应的视图。

授权

授权是 IdentityServer4 的另一个重要功能。IdentityServer4 支持多种授权方式，例如 OAuth2 和 OpenID Connect 授权等等。以下是一个基于 OAuth2 的授权示例：

public class ApiResourceController : ControllerBase
{
    [Authorize]
    [HttpGet("{id}")]
    public IActionResult Get(int id)
    {
        // do something
        return Ok();
    }
}

上面的代码中，我们定义了一个 ApiResourceController 控制器，并在其中使用 Authorize 特性来保护该控制器的 Get 方法。这意味着只有经过身份验证并且拥有正确的权限的用户才能访问该方法。

认证

认证是 IdentityServer4 的一个重要功能。IdentityServer4 支持多种认证方式，例如 Cookie 认证、JWT 认证等等。以下是一个基于 Cookie 的认证示例：

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        services.AddIdentity<ApplicationUser, IdentityRole>()
        .AddEntityFrameworkStores<ApplicationDbContext>()
        .AddDefaultTokenProviders();

        services.ConfigureApplicationCookie(options =>
            {
                options.Cookie.HttpOnly = true;
                options.ExpireTimeSpan = TimeSpan.FromMinutes(30);
                options.LoginPath = "/Account/Login";
                options.AccessDeniedPath = "/Account/AccessDenied";
                options.SlidingExpiration = true;
            });
    }

    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        app.UseAuthentication();
        app.UseMvc();
    }
}

上面的代码中，我们在 ConfigureServices 方法中配置了 Identity 和 Cookie。我们指定了 Identity 的存储方式为 Entity Framework，并配置了默认的令牌提供程序。在 Configure 方法中，我们启用了身份验证中间件，并注册了 MVC 中间件。

客户端

客户端是 IdentityServer4 中的一个概念，它代表了一个可以访问资源的应用程序。IdentityServer4 支持多种客户端，例如 Web 应用程序、单页应用程序、移动应用程序等等。以下是一个基于客户端凭证的客户端示例：

var client = new HttpClient();
var disco = await client.GetDiscoveryDocumentAsync("https://localhost:5001");
if (disco.IsError)
{
    Console.WriteLine(disco.Error);
    return;
}

var tokenResponse = await client.RequestClientCredentialsTokenAsync(new ClientCredentialsTokenRequest
{
    Address = disco.TokenEndpoint,
    ClientId = "client",
    ClientSecret = "secret",
    Scope = "api1"
});

if (tokenResponse.IsError)
{
    Console.WriteLine(tokenResponse.Error);
    return;
}

Console.WriteLine(tokenResponse.Json);

上面的代码中，我们使用 HttpClient 发送一个请求来获取发现文档，并使用 ClientCredentialsTokenRequest 请求一个客户端凭证令牌。客户端凭证令牌是一种授权类型，它用于访问受保护的 API 资源。如果请求成功，我们将在控制台输出令牌的 JSON 表示形式。

结论

IdentityServer4 是一个功能强大的身份验证和授权框架，它可以帮助你轻松地集成身份验证和授权服务到你的应用程序中。本文介绍了 IdentityServer4 的一些基本概念和使用方法，包括资源、身份验证、授权和客户端。如果你想深入了解 IdentityServer4 的更多功能和使用方法，建议你查阅官方文档或参考示例代码。