IdentityServer4 - API 上的用户权限

Question

我目前正在设置一个带有 Web API 和 MVC UI 的新项目（最终也会有一个可以与相同 API 对话的移动 UI）。

所以，我有以下计划：

1. 用户导航到 MVC UI，将他们带到 IdentityServer4 服务器以登录或注册
2. 然后将 IdentityServer 用户添加到数据库中应用程序自己的用户表中
3. 然后可以对用户设置权限以限制他们的访问权限

这意味着身份服务器就是这样，身份服务器（意味着我允许人们通过 Google 等登录，而不用担心他们的角色和权限）。

所以，为了实现上述目的，我需要检查用户对 API 的权限，而不是客户端（客户端可以是任何东西 - 网络、手机应用程序、JavaScript 客户端等，所以我们不能依赖它处理用户权限）。

在 API 上，我实现了 Permissionhandler 和 PermissionRequirement 授权策略。因此，在 API 控制器或方法上，我可以执行以下操作：[Authorize(Policy = "CreateUser")]。看来我需要为每个系统权限制定一个策略。

所以在授权处理程序中我需要：

1. 获取当前用户的用户名
2. 如果它们存在于应用数据库中，请检查它们的权限并进行身份验证或拒绝
3. 如果它们在应用数据库中不存在，请添加它们，然后我们可以稍后从管理面板设置它们的权限

在我尝试从身份服务器请求用户的用户名之前，这一切进展顺利。我知道我需要使用 UserInfoClient 来执行此操作，但我不知道如何使用用户的令牌/凭据从身份服务器获取他们的声明或至少获取他们的 User.Identity.Name。

现在我可以只使用子 ID 将用户添加到应用程序数据库，但是管理权限的人将不知道那个人是谁，所以我需要使用他们的电子邮件。

现在在 MVC 客户端中，我可以毫无问题地看到 User.Identity.Name，但在 API 中该值为 null！？

所以我的问题是：到底如何从 API 中获取当前用户的 Identity.Name、用户名或电子邮件？

谢谢。

Answer 1

我相信您已经在 Web API 中配置了 IdentityServerAuthentication，类似于 this -

public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
{
   ...
   app.UseIdentityServerAuthentication(new IdentityServerAuthenticationOptions
   {
      Authority = "http://UrlOfIentityServer",
      RequireHttpsMetadata = false,
      ApiName = "exampleapi"
   });
   ...
}

当您进行网络服务调用时，您需要传递从 IdentityServer 收到的相同 token喜欢this -

using (var httpClient = new HttpClient())
{
   string accessToken = await HttpContext.Authentication.GetTokenAsync("access_token");

   httpClient.BaseAddress = new Uri("http://UrlOfWebAPI");
   httpClient.DefaultRequestHeaders.Clear();
   httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);

   return await httpClient.GetStringAsync("api/clock/time");
}

Answer 2

我想我现在已经破解了。

            var mvcContext = context.Resource as Microsoft.AspNetCore.Mvc.Filters.AuthorizationFilterContext;
        if (mvcContext != null)
        {
            // Use the UserInfo endpoint to get the user's claims
            var discoveryClient = new DiscoveryClient("http://localhost:5000");
            var doc = await discoveryClient.GetAsync();

            var accessToken = await mvcContext.HttpContext.Authentication.GetTokenAsync("access_token");

            var userInfoClient = new UserInfoClient(doc.UserInfoEndpoint);
            var response = await userInfoClient.GetAsync(accessToken);

            var claims = response.Claims;
        }

这在https://docs.microsoft.com/en-us/aspnet/core/security/authorization/policies 的底部有详细说明，因此根据微软的说法，这是正确的方法。

不过，您确实激发了这个想法，谢谢 Win。我盯着这该死的东西看了好几个小时。有时你只需要别人说点什么，什么，诅咒就被打破了！ :)

如果有人有的话，我仍然愿意找到更好的方法来实现这一点。

干杯