从 SPA 验证 Google Id 令牌时从 IdentityServer4 获取新的 access_token

Question

我正在使用 ASP.NET Identity 创建 IdentityServer4 身份验证，用于 React SPA 和具有基于策略的授权的 ASP.NET Core Web API。

Take a look at this flow diagram as I am not yet able to embed images directly into the question.

所以基本上我到目前为止所做的，

1. 成功登录 Google 后，React SPA 将具有“使用 Google 登录”（“react-google-login”库）
2. 收到包含 IdToken 和其他内容的“tokenObj”响应
3. POST 请求，使用 Id 令牌 和一些额外的声明字段，从 React SPA 到 IdentityServer4 端点
4. 使用 Google 客户端库方法 Google.Apis.Auth.GoogleJsonWebSignature.ValidateAsync 从 IdentityServer4 控制器端点验证 IdToken
5. IdToken 验证成功后，使用 ASP.NET Identity UserManager 方法创建/获取用户，并且，
6. 此外，在 POST 请求中传递的自定义声明会为该用户添加到数据库中

我现在想做什么，

1. 从 IdentityServer4 获取“access_token”，将其传递到该 POST 请求的成功响应中。

注意：不要将 Google 提供的 access_token 传递给 React SPA。想 将 IdentityServer4 颁发的 access_token 传递给 SPA。并且访问令牌在解码时应包含该自定义声明，以进一步处理基于策略的 在另一个 API 中进行授权。 我也知道 ProfileService 是用来传递 IdentityServer4 发出的访问令牌里面的自定义声明，所以 ProfileService 我已经实现了。

所以问题主要集中在使用Google IdToken验证用户后如何通过IdentityServer4颁发的新access_token。

最小的工作示例

  public class ExternalLoginModel
     {
        public string IdToken { get; set; }
        public string UserRole { get; set; }
     }
[Route("api/[controller]")]
[ApiController]
public class ExternalAuthController : ControllerBase
{
   [HttpPost]
   [Route("google")]
   public async Task<IActionResult> AuthenticateGoogleSignin(ExternalLoginModel externalLoginModel)
        {
            Payload payload;
            var provider = "google";
            try
            {
                // currently no need to validate
                var validationSettings = new ValidationSettings
                { Audience = new[] { "YOUR_CLIENT_ID" } };
                payload = await GoogleJsonWebSignature.ValidateAsync(
                    externalLoginModel.IdToken, validationSettings);
                 // create custom claims and store claims for the user found from Google IdToken
                 // storing custom claims passed in request if user is created.
                var userRole = externalLoginModel.UserRole;
                var user = await GetOrCreateExternalLoginUser("google", 
                                                                    payload.Subject,
                                                                    payload.Email,
                                                                    userRole);

                return Ok(new
                {
                    access_token = "want_to_give_identity_server4_issued_access_token"
                });
            }
            catch
            {
                // Invalid token
            }
            return BadRequest();
        }
}

Answer 1

我认为你把它弄得比它必须要复杂的多。

我认为更好的方法是让您的 SPA 应用程序要求您的后端（ASP.NET 身份）要求 IdentityServer 对用户进行身份验证。然后使用外部身份验证，IdentityServer 将要求用户通过 Google 进行身份验证。

通过这样做，IdentityServer 和 Google 将直接相互交谈。身份验证后，您将从 IdentityServer 取回令牌并将其发送回 ASP.NET Identity。使用这些令牌，可以将适当的会话 cookie 发布到您的 SPA 应用程序。

这是一种更安全的方法，可以避免 SPA 应用程序处理此问题。

要实现外部身份验证，请从以下几个起点开始：

• Exchanging external tokens from Facebook, Google and Twitter
• Sign-in with External Identity Providers

除此之外，我认为这个问题可能需要进一步澄清？也许您的设置图片会有所帮助。

关于你的图片，你不应该直接从 React 转到 Google，而是通过 IdentityServer 然后 Google，就像这张图片：

react 和 Google 不应该直接交互。 IdentityServer 保护您的应用免受 Google 的攻击。

Answer 2

您必须执行以下步骤才能获得用户的海关索赔：-

1. 将自定义声明添加到 IdentityResource 列表中。
2. 针对用户设置索赔。
3. 在允许的范围列表中添加针对客户端的声明 必须发行哪个令牌。
4. 从身份服务器获取访问令牌后，使用 然后您可以调用用户信息端点GET /connect/userinfo 获取该列表的令牌 为用户设置的声明。